Even with the best possible security, data breaches cannot be completely avoided. However, data breaches are often the result of a vulnerable and outdated security regime or system weaknesses. Prevention through the adoption of appropriate security measures is therefore key to preventing vulnerabilities in systems or insufficient security that can potentially lead to a data breach.
\n\n
\n\n
Data and risk mapping: Only if organisations know what types of data breaches could occur and understand the characteristics of these breaches, can they take the necessary TOMs to reduce the risk of a successful attack or breach.
\n\n
\n\n
The basic prerequisite is first that companies know what types of data and personal data they process, who the data subjects are and their locations, where the data is stored and who should have access to it. This knowledge requires the mapping of all data systems, products and services that process personal data and their classification. Organisations should then assess the risk level to their organisation and to individuals in the case of a data breach, as well as identifying the possible types of attacks and based on that understanding and the level of risk, take the appropriate TOMs to mitigate the consequences in the case of a data breach.
\n\n
\n\n
Implementation of TOMs: Based on the risk level, such TOMs may include a state-of-the-art encryption of the data at rest and a separate back-up of the data to help mitigate the consequences of a successful ransomware attack, or the loss or theft of a device with personal data. In addition to a state-of-the-art encryption, measures such as key management, regular updates of systems, use of strong authentication methods like two-factor authentication, firewalls, etc. may help to mitigate the consequences of data exfiltration. Regular awareness campaigns and training to staff on security aspects, instructions on how to use company devices and information as well as the implementation of technical measures and controls may help to prevent human errors.
\n\n
\n\n
Applicable laws and competent authorities: Organisations should assess which data protection and other laws apply to them in case of an incident and data breach. This should include assessing whether an entity is covered by NIS2. Based on this knowledge, organisations should determine which authorities to notify in case of a NIS2 incident and data breach. This insight will help save valuable time in the event of an incident.
\n\n
\n\n
External resources and insurance coverage: Besides the implementation of robust TOMs, organisations should evaluate in advance what type of external expertise is required in the case of a data breach and ensure that such expertise is available on short notice, which may require the negotiation of frame contracts in advance. Additionally, organisations may consider holding an insurance policy for data breaches.
\n\n
\n\n
Data breach response plan: Finally, organisations should deploy a data breach response plan that sets out procedures, modalities, and responsibilities in the event the organisation experiences a data breach (or a suspected data breach, i.e., a security incident) to respond to a data breach in a timely and efficient manner.
\n\n
\n\n
4.2 Response – Implement a data breach response plan
\n\n
\n\n
4.2.1. Why a data breach response plan?
\n\n
\n\n
Due to the usually very short timelines for reporting a data breach to the data protection authorities and individuals (at least in some countries, including the EU), it is critical that each organisation handling personal data put in place a documented data breach response plan. Implementing such a plan can help organisations in: (a) mitigating the impact on the organisation and affected individuals, and the costs resulting from the data breach; (b) meeting their data security obligations; (c) protecting important business assets, including personal data of their employees and clients and the company’s reputation; (d) dealing with negative media or stakeholder attention; and (e) instilling public confidence and trust in the organisation’s capacity to protect personal data entrusted to the company by properly responding to a data breach.
\n\n
\n\n
The data breach response plan should be aligned with other plans as appropriate, such as existing security incident response, disaster recovery, business continuity, or contingency plans. This approach can ensure effective management with clear responsibilities, avoid duplication, and leverage synergies.
\n\n
\n\n
4.2.2. Content of a data breach response plan
\n\n
\n\n
A data breach response plan should establish the rules and processes on how to handle a data breach in compliance with internal standards and legal and regulatory requirements. It should outline what a data breach is, possibly providing some concrete examples tailored to the specific organisation, allocate the roles and responsibilities for detecting, responding, and documenting a data breach, describe the process for handling a data breach, from detection to notification and risk mitigation, and specify the obligations towards third parties processing the data on their behalf.
\n\n
\n\n
4.2.3. Establishment of an incident response team
\n\n
\n\n
While in small organisations the managing director or owner is often the person who deals with a data breach, usually with external assistance, establishing an incident response team has proven effective in mid-sized and larger organisations. The purpose of such a team is to ensure that in the event of a data breach, the relevant functions are immediately engaged, and data breaches can be promptly addressed, the risks assessed, and any required notifications made in a timely manner.
\n\n
\n\n
\n\n
The composition of the team will depend on the organisation and the nature of the business, but will typically require different skill sets, which can be ensured by involving internal functions and external legal, data forensics, and media management experts. Organisations should assess what type of external expertise will be needed in the event of a data breach in advance, and ensure that this expertise is available on short notice. The organisation should maintain and regularly update a current list of team members, including their roles, responsibilities, and contact details, as well as the contact information of their delegates. Team members should receive regular training including on compliance with the applicable laws and notification requirements and participate in mock exercises. The response team should consist of a core team that includes, at a minimum, the data protection officer and the information security officer, and should be extended to include other functions such as human resources, research and development, or communications, as well as outside legal counsel and forensic analysts, depending on the severity and nature of the incident.
\n\n
\n\n
The incident response team should be responsible for managing the overall data breach, investigating, and reviewing the circumstances of the data breach and the facts of the case, engaging relevant functions and external experts, assessing the level of risk, determining remediation actions, determining the need for internal escalation, and notifying data protection authorities and individuals. The data breach response plan should identify the specific responsibilities of each member of the response team.
\n\n
\n\n
Furthermore, corporate management bodies should oversee, approve and be trained on the cybersecurity measures taken by the organisation, according to the new requirements of the NIS2 Directive.
\n\n
\n\n
4.2.4. Process for responding to a data breach
\n\n
\n\n
The process for responding to a data breach typically includes different steps, starting from the detection of the data breach and reporting to the immediate containment, investigation of the data breach, risk evaluation, internal escalation, notification, and documentation.
\n\n
\n\n
\n\n
\n\n
Detection and reporting: Each employee should understand how to recognise a potential data breach and know how to report such a data breach or suspected data breach (security incident) to the incident response team, who will immediately perform a preliminary evaluation and determine whether the incident qualifies as a data breach.
\n\n
\n\n
Containment: Once the source of the data breach has been identified, the data breach should be contained immediately to prevent further exposure of personal data, for example, and depending on the concrete impact, by remediating identified vulnerabilities in systems, recovering records, shutting down the compromised system, restricting access to data, recalling sent emails containing personal data that were inadvertently attached to the email or sent to the wrong recipients, or deleting them from the accounts of the unintended recipients.
\n\n
\n\n
Investigation: The incident response team should investigate and document the facts and circumstances of the data breach, including: the causes of the data breach such as any vulnerabilities in the computer systems; the nature of the data breach (breach of confidentiality, availability, or integrity); the nature, scope, and sensitivity of the personal data involved, as well as the origin of the data; the type, number, and location of data subjects; applicable data protection laws; and notification requirements.
\n\n
\n\n
Risk evaluation: Based on the outcome of the investigation and taking into account the type of personal data compromised, the extent of the data breach, and the type and number of individuals affected by the data breach, the incident response team must assess the level of risk of the data breach to the rights and freedoms of data subjects and the organisation. To assess the level of risk, they must determine the impact that the data breach could have on the rights and freedoms of individuals and the likelihood that this impact will actually occur. The greater the impact and the greater the likelihood, the higher the risk. Essential elements for determining the impact on individuals are the ease of their identification (how easily can an individual be identified from the compromised data?) and the severity (how much harm can be caused by the data breach?). Key elements in determining the likelihood of the identified impact actually occurring are the potential vulnerabilities due to the lack of appropriate TOMs and the ability to exploit those vulnerabilities or the intent of the individuals accessing or possessing the data (was the data exfiltrated by a hacker with malicious intent or sent by an employee to the wrong recipient in the same organisation by mistake?).
\n\n
\n\n
Escalation: The data breach response plan should define the internal escalation process, which should depend on the severity and extent of the breach, the level of risk identified, and the requirement for notification.
\n\n
\n\n
Notification: The incident response team determines, based on all the facts and the risk evaluation, whether the data breach must be notified to local data protection authorities and affected individuals, and if so, when, where, and how. At the same time, the incident response team should address notification of other authorities, such as those responsible for NIS2 incidents, if the organisation is subject to NIS2 and it is a significant incident. The data breach response plan should identify which function is responsible for notifying the authorities and individuals. In general, the notification of a data breach is assigned to the data protection officer. Notification of an incident subject to other laws, such as NIS2, may be assigned to other functions. It is recommended that notifications be coordinated. It is also advantageous if scenarios requiring notification have already been worked through and documented.
\n\n
\n\n
Documentation: Any data breach, whether notified to data protection authorities and/or individuals or not, should be documented, including the facts and circumstances of the breach, its effects, and the corrective actions taken and planned to prevent future similar data breaches, the risk evaluation, and the appropriate justification for the decisions made with respect to the notification to data protection authorities and individuals.
\n\n
\n\n
4.2.5. Considerations in implementing a data breach response plan globally
\n\n
\n\n
Given the large number of countries with data breach notification requirements, globally operating companies are faced with the challenge of finding solutions that are as comprehensive and uniform as possible in order to, on the one hand, deal with data breaches uniformly and efficiently across the organisation and, on the other hand, take into account the specifics of the individual countries.
\n\n
\n\n
When implementing a data breach response plan globally, companies must take into account locally applicable data privacy and security laws, as well as notification requirements and modalities, languages, and cross-border data transfer restrictions, and align the data breach response plan accordingly. Companies should also decide what the internal reporting channel for discovered data breaches should be. Depending on their organisational set-up, they could establish one global reporting channel or separate regional or local reporting channels. Also, organisations must determine where data breaches should be documented (in a centralised system or locally), and whether a global incident response team should be deployed around the world, or regional/local response teams be established.
\n\n
\n\n
4.3 Improvement – Address security gaps to prevent future (similar) data breaches – regularly re-evaluate the data breach response plan to increase effectiveness
\n\n
\n\n
The third phase of the data breach response strategy consists of improvements in two respects: addressing identified vulnerabilities to prevent future similar data breaches; and increasing the effectiveness of the data breach response plan.
\n\n
\n\n
Address any identified security vulnerabilities to prevent future similar data breaches. Once the notification and documentation process is complete, the incident response team should determine and implement appropriate measures to prevent future similar data breaches. Depending on the concrete type of data breach and the root cause, such measures may include, for example, conducting regular security audits and reviewing and updating policies and procedures in light of lessons learned, reviewing and amending contracts with third parties to ensure the appropriate handling of data breaches. Other measures may include, for example, restricting the downloading of personal data to mobile devices without adequate security protection, such as state-of-the-art encryption or the establishment of separate backups of specific data sets, and regular training for the business units concerned.
\n\n
\n\n
Periodically re-evaluate the data breach response plan to increase its effectiveness, taking into account changes in applicable data protection laws, best practices and internal business requirements.
\n\n
\n\n
5 Conclusion
\n\n
\n\n
Data security is one of the essential obligations of any organisation that processes personal data. A breach of the confidentiality, integrity or availability of data can have negative consequences not only for the individuals concerned, but also for the responsible organisation. A data breach can result in notification obligations, significant costs to contain the data breach and repair the damage caused by the breach, as well as loss of stakeholder trust, reputational damage, and business disruption. Investing in data security to prevent data breaches, such as those caused by cyberattacks or human error, and being prepared to respond in the event of a data breach, is therefore essential for any organisation to meet its legal obligations and avoid negative consequences for itself and the individuals affected.
\n\n
\n","datum":"21.07.2023","teasertext":"
Unternehmen, die personenbezogene Daten verarbeiten, müssen weltweit strenge gesetzliche Auflagen in Bezug auf Datensicherheit und allfällige Meldungen von Datenschutzverletzungen an Datenschutzbehörden und betroffene Personen befolgen. Dieser Artikel erläutert, was eine Datenschutzverletzung ist und wie eine Strategie zum Umgang mit und zur Vermeidung von Datenschutzverletzungen aussehen könnte. Insbesondere erklärt er auch die Meldepflichten unter der neuen EU-Richtlinie über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union (NIS2-Richtlinie), die am 16. Januar 2023 in Kraft getreten ist und deren Anwendungsbereich auf neue Sektoren ausgeweitet wurde, sodass viele Organisationen, die nicht unter die frühere NIS-Richtlinie fielen, nun zusätzliche Meldepflichten beachten müssen. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n\n
\n","preview":"","datei":[],"linkextern":""},{"id":173,"title":"Vorbereitung auf das neue Schweizer Datenschutzgesetz","slug":"bereiten-sie-sich-auf-das-neue-schweizer-datenschutzgesetz-vor","link":"/de/news/bereiten-sie-sich-auf-das-neue-schweizer-datenschutzgesetz-vor","titel":"Vorbereitung auf das neue Schweizer Datenschutzgesetz","text":"
Dieses Webinar auf Mondaq, das auf dem früheren Webinar \"The new Swiss Data Protection Act - What you need to know\" aufbaut, geht spezifisch auf die Massnahmen zur Vorbereitung auf das neue Schweizer Datenschutzgesetz ein, das am 1. September 2023 in Kraft tritt.
\n\n
\n\n
Spezifische Themen wie der Geltungsbereich des Schweizer Datenschutzgesetzes (auch für Unternehmen im Ausland), die Voraussetzungen für die Bezeichnung eines Vertreters in der Schweiz sowie die besonderen Bestimmungen in Bezug auf die Informationspflicht bei der Beschaffung von Personendaten, das Verzeichnis der Bearbeitungstätigkeiten, die Datensicherheit, den Umgang mit und die Meldung von Verletzungen der Datensicherheit, Datenschutz-Folgenabschätzungen, Outsourcing und die Bekanntgabe von Personendaten ins Ausland werden behandelt und mit praktischen Umsetzungstipps ergänzt.
\n\n
\n\n
Bitte beachten Sie, dass das Webinar nur auf Englisch verfügbar ist.
\n\n
\n\n
Um das Webinar direkt auf der Mondaq Website anzuschauen, klicken Sie bitte hier.
\n\n
\n\n
Um eine deutsche Übersetzung des Webinars als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
\n","datum":"08.06.2023","teasertext":"
Dieses Webinar auf Mondaq, das auf dem früheren Webinar \"The new Swiss Data Protection Act - What you need to know\" aufbaut, geht spezifisch auf die Massnahmen zur Vorbereitung auf das neue Schweizer Datenschutzgesetz ein, das am 1. September 2023 in Kraft tritt. Bitte beachten Sie, dass das Webinar nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":172,"title":"Neues Schweizer Datenschutzgesetz - Die wichtigsten Neuerungen für Unternehmen","slug":"neues-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","link":"/de/news/neues-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","titel":"Neues Schweizer Datenschutzgesetz - Die wichtigsten Neuerungen für Unternehmen","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (nDSG) verabschiedet.2 Das nDSG sowie die neue Datenschutzverordnung (DSV) und die neue Verordung über Datenschutzzertifzierungen (VDSZ) treten am 1. September 2023 in Kraft.
\n\n
\n\n
Ziel der Revision war einerseits den Datenschutz zu stärken, indem die Transparenz von Datenbearbeitungen und die Kontrollmöglichkeiten der betroffenen Personen über ihre Daten verbessert und zugleich das Verantwortungsbewusstsein der Verantwortlichen erhöht werden.3 Ein wichtiges Ziel war auch die Wettbwerbesfähigkeit der Schweiz aufrechtzuerhalten und der Schweiz zu ermöglichen, das revidierte Datenschutzakommen SEV 108 des Europarats zu ratifizieren, sich der EU Datenschutzgrundverordnung (DSGVO) anzunähern und damit weiterhin als Drittstaat mit einem angemessenen Datenschutzniveau anerkannt zu bleiben.
\n\n
\n\n
At a Glance
\n\n
\n\n
\n
Die Grundkonzeption der «Erlaubnis der Datenbearbeitung mit Verbotsvorbehalt» (d.h. Verbot, wenn die Datenbearbeitung zu einer «widerrechtlichen Persönlichkeitsverletzung führt») bleibt bestehen. Eine Einwilligung für die Bearbeitung von Personendaten ist, auch bei Profiling und der Bearbeitung von besonders schützenswerten Daten, nach wie vor grundsätzlich nicht erforderlich. Auch die Grundsätze der Datenbearbeitung bleiben weitgehend unverändert.
\n
\n\n
\n\n
\n
Juristische Personen fallen aus dem Schutzbereich heraus. Nur noch natürliche Personen unterstehen dem Schutz des nDSG.
\n
\n\n
\n\n
\n
Der Geltungsbereich des nDSG erstreckt sich auf Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Auswirkungsprinzip).
\n
\n\n
\n\n
\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen, dafür die Begriffe «Profiling», «Profiling mit hohem Risiko» und «Verletzung der Datensicherheit» eingeführt. Genetische und biometrische Daten sowie Daten über die Zugehörigkeit zu einer Ethnie gehören neu zu den besonders schützenswerten Daten.
\n
\n\n
\n\n
\n
Die Konzepte «Privacy by Design» und «Privacy by Default» sind, wie auch schon in der EU-Datenschutz-Grundverordnung (DSGVO), nun im Gesetz verankert.
\n
\n\n
\n\n
\n
Für die Datensicherheit sind sowohl der Verantwortliche als auch der Auftragsbearbeiter verantwortlich. Ein risikobasierter Ansatz wird eingeführt.
\n
\n\n
\n\n
\n
Die Datenbearbeitung durch Auftragsbearbeiter bleibt im Wesentlichen gleich. Neu darf der Auftragsbearbeiter einen Unterauftragnehmer für die Bearbeitung der Daten nur nach vorgängiger Genehmigung des Verantwortlichen beiziehen.
\n
\n\n
\n\n
\n
Die Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters bleibt freiwillig. Vorteile einer Ernennung können sich im Zusammenhang mit der Datenschutz-Folgenabschätzung ergeben.
\n
\n\n
\n\n
\n
Neu müssen der Verantwortliche und der Auftragsbearbeiter ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Dieses Verzeichnis muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nicht gemeldet werden (bisher musste der Inhaber von Datensammlungen seine Sammlungen grundsätzlich beim EDÖB anmelden).
\n
\n\n
\n\n
\n
Unternehmen mit Sitz im Ausland, die Personendaten von Personen in der Schweiz bearbeiten, müssen künftig einen Vertreter in der Schweiz bezeichnen.
\n
\n\n
\n\n
\n
Die Voraussetzungen für die Bekanntgabe von Personendaten ins Ausland bleiben im Wesentlichen gleich. Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
\n
\n\n
\n\n
\n
Die Informationspflicht ist neu auf das Beschaffen jeglicher Personendaten ausgedehnt worden (bisher nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen) und umfasst auch automatisierte Einzelentscheidungen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss neu bei Datenbearbeitungen mit voraussichtlich hohem Risiko für die betroffene Person eine Datenschutz-Folgenabschätzung durchführen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss künftig Verletzungen der Datensicherheit dem EDÖB melden.
\n
\n\n
\n\n
\n
Betroffene Personen haben neu ein Recht auf Datenherausgabe oder -übertragung (Datenportabilität).
\n
\n\n
\n\n
\n
Der EDÖB erhält erweiterte Kompetenzen und kann neu eine Reihe von Verwaltungsmassnahmen verfügen.
\n
\n\n
\n\n
\n
Die Strafbestimmungen wurden erheblich verschärft mit Bussen bis zu 250'000 Franken für private Personen (also nicht Unternehmen!), aber nur für Verstösse in bestimmten Bereichen, insbesondere für Verstösse gegen Auskunfts-, Informations- und Mitwirkungspflichten sowie Sorgfaltspflichten bezüglich der Anforderungen an die Datenbekanntgabe ins Ausland, den Einsatz eines Auftragsberarbeiters und für die Nichteinhaltung der Mindestanforderungen an die Datensicherheit. Bussen setzen eine vorsätzliche Handlung voraus und werden in den meisten Fällen nur auf Antrag verhängt.
Das nDSG bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden. Nach geltendem Gesetz fallen auch juristische Personen unter den Schutzzweck. Mit der Streichung der juristischen Personen aus dem Schutzbereich gleicht sich das nDSG der DSGVO an, welche ebenfalls nur den Schutz natürlicher Personen bezweckt.
\n\n
\n\n
Das nDSG regelt nun auch den räumlichen Geltungsbereich. Nach Art. 3 gilt das Gesetz für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
Der Begriff \"Personendaten\" wird auf alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, beschränkt. Künftig gelten nur noch natürliche Personen, über die Personendaten bearbeitet werden, als betroffene Personen.
\n\n
\n\n
Für die Bestimmbarkeit wird dabei weiterhin von einem «relativen Ansatz» ausgegangen. Gemäss Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz6 reicht, wie auch nach geltendem Recht, die rein theoretische Möglichkeit, dass jemand identifiziert werden kann, nicht aus, um anzunehmen, eine Person sei bestimmbar. Bereits in seiner Botschaft zum DSG von 19887 hielt der Bundesrat fest, dass keine Bestimmbarkeit vorliegt, wenn «der Aufwand für die Bestimmung der betroffenen Personen derart gross ist, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird». «Vielmehr muss die Gesamtheit der Mittel betrachtet werden, die vernünftigerweise eingesetzt werden können, um eine Person zu identifizieren. Ob der Einsatz dieser Mittel vernünftig ist, muss mit Blick auf die Umstände, etwa den zeitlichen und finanziellen Aufwand für die Identifizierung, beurteilt werden. Dabei sind die zum Zeitpunkt der Bearbeitung verfügbaren Technologien und deren Weiterentwicklung zu berücksichtigen. Das Gesetz gilt nicht für anonymisierte Daten, wenn eine Re-identifizierung durch Dritte unmöglich ist (die Daten wurden vollständig und endgültig anonymisiert) oder wenn dies nur mit einem hohen Aufwand möglich wäre, den kein Interessent auf sich nehmen würde. Das gilt ebenfalls für pseudonymisierte Daten».8
\n\n
\n\n
Der Begriff «besonders schützenswerte Personendaten» ist um «Daten über die Zugehörigkeit zu einer Ethnie», «genetische Daten» und «biometrische Daten, die eine natürliche Person eindeutig identifizieren» erweitert worden. Während bei den biometrischen Daten klargestellt wurde, dass diese eine natürliche Person eindeutig identifizieren müssen, wurde dieser Zusatz bei den genetischen Daten im Differenzbereinigungsverfahren wieder gestrichen.
\n\n
\n\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen. Neu werden folgende Begriffe eingeführt:
\n\n
\n\n
\n
«Verantwortlicher»: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.
\n
\n\n
\n\n
\n
«Auftragsbearbeiter»: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.
\n
\n\n
\n\n
\n
«Profiling»: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
\n
\n\n
\n\n
\n
«Profiling mit hohem Risiko»: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
\n
\n\n
\n\n
\n
«Verletzung der Datensicherheit»: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n
\n\n
\n\n
3. Grundsätze für die Datenbearbeitung
\n\n
\n\n
Die Grundsätze der Datenbearbeitung bleiben materiell weitgehend unverändert.
\n\n
\n\n
\n
Neu wird in Art. 6 Abs. 4 ausdrücklich geregelt, dass die Daten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Die Erfüllung dieser Verpflichtung setzt voraus, dass der Verantwortliche im Vorfeld Aufbewahrungsfristen bestimmt.
\n
\n\n
\n\n
\n
Der Begriff «Persönlichkeitsprofil» wird durch «Profiling» ersetzt (siehe die Beschreibung unter «Begriffe»). Die Terminologie des Profilings war der eigentliche Knackpunkt, bei dem die Räte bis zuletzt uneinig waren und der auch in den Medien heftig diskutiert wurde. Schliesslich hat sich die Einigungskonferenz dem Antrag des Ständerates angeschlossen und die Einführung des «Profiling mit hohem Risiko» beschlossen (was mit dem heutigen Konzept des Persönlichkeitsprofils vergleichbar ist), mit der Konsequenz, dass bei dieser Art von Profiling die Einwilligung, sofern erforderlich, ausdrücklich erfolgen muss.
\n
\n\n
\n\n
Zu beachten ist, dass das nDSG kein Einwilligungserfordernis für das Profiling mit hohem Risiko einführt, sondern lediglich fordert, dass eine Einwilligung, sofern diese als Rechtfertigungsgrund nach Art. 31 nDSG überhaupt erforderlich ist, ausdrücklich erfolgen muss. Es sei daran erinnert, dass die Grundkonzeption sowohl des geltenden DSG als auch des nDSG anders ist als diejenige der DSGVO. Während nach der DSGVO für die Bearbeitung von personenbezogenen Daten immer ein Rechtsgrund erforderlich ist (Art. 6 und 9 DSGVO), ist die Bearbeitung von Personendaten nach dem DSG und nDSG grundsätzlich erlaubt, solange die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt wird. Nach dem nDSG gilt demnach weiterhin das «Erlaubnisprinzip mit Verbotsvorbehalt» während nach der DSGVO das «Verbotsprinzip mit Erlaubnisvorbehalt» gilt.
\n\n
\n\n
4. Privacy by Design und Privacy by Default
\n\n
\n\n
Neu sind die Prinzipien «Privacy by Design» und «Privacy by Default» wie wir sie bereits aus der DSGVO kennen, nun auch im nDSG verankert. In der Praxis ist der Verantwortliche schon heute verpflichtet, die Datenbearbeitung so auszugestalten, dass die Datenschutzvorschriften und die Grundsätze der Datenbearbeitung eingehalten werden. Ausdrücklich geregelt ist nun, dass der Verantwortliche verpflichtet ist, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Privacy by Default). Mehr zum Konzept können Sie in meinem Beitrag Privacy by Design als Grundvoraussetzung für die Verarbeitung personenbezogener Daten lesen (auf Englisch).
\n\n
\n\n
5. Datensicherheit
\n\n
\n\n
Der leicht revidierte Artikel 8 nDSG hält fest, dass sowohl der Verantwortliche als auch der Auftragsbearbeiter verpflichtet sind, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten. Neu wird also der risikobasierte Ansatz eingeführt. «Je grösser das Risiko einer Verletzung der Datensicherheit, umso höher sind die Anforderungen an die zu treffenden Massnahmen».9 Weitere Bestimmungen über die Mindestanforderungen an die Datensicherheit sind in Abschnitt 1 der DSV zu finden.
\n\n
\n\n
6. Datenbearbeitung durch einen Auftragsbearbeiter
\n\n
\n\n
Art. 9 nDSG übernimmt im Wesentlichen den geltenden Artikel 10a DSG. Der unglückliche Begriff «Dritte» wird mit «Auftragsbearbeiter» ersetzt. Die Bearbeitung von Personendaten kann nach wie vor vertraglich oder durch Gesetz einem Auftragsbearbeiter übertragen werden, wenn (a) die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und (b) keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. In Anlehnung an die DSGVO muss ein Auftragsbearbeiter nun die Genehmigung des Verantwortlichen einholen, bevor er einen Unterauftragnehmer für die Datenbearbeitung beizieht.
\n\n
\n\n
7. Datenschutzberaterin oder -berater
\n\n
\n\n
Verantwortliche können, müssen aber nicht, eine Datenschutzberaterin oder einen Datenschutzberater als Anlaufstelle für die betroffenen Personen und Behörden, die in der Schweiz für den Datenschutz verantwortlich sind, ernennen. Die Aufgaben der Datenschutzberaterin oder des Datenschutzberaters bestehen in der Schulung und Beratung des Verantwortlichen in Fragen des Datenschutzes und in der Mitwirkung bei der Anwendung der Datenschutzvorschriften.
\n\n
\n\n
Anders als nach dem geltenden DSG ist die Datenschutzberaterin oder der Datenschutzberater nicht dafür verantwortlich, die betriebsinterne Einhaltung der Datenschutzvorschriften zu überwachen und ein Verzeichnis der Datensammlungen zu führen.
\n\n
\n\n
Private Verantwortliche, die aufgrund ihrer Datenbearbeitung Datenschutz-Folgenabschätzungen gemäss Art. 22 nDSG durchführen müssen, haben mit der Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters einen Vorteil, sofern sie diese oder diesen konsultieren. Sie können in diesem Fall nämlich von der Konsultationspflicht des EDÖB absehen.10 Eine Konsultation ist vorgeschrieben, wenn sich aus einer Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung der Daten trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat. Voraussetzung für den Verzicht auf die Konsultationspflicht ist, dass die Datenschutzberaterin oder der Datenschutzberater (a) ihre oder seine Funktion gegenüber dem Verantwortlichen fachlich unabhängig und weisungsungebunden ausführt, (b) keine Tätigkeiten ausübt, die mit ihren oder seinen Aufgaben als Datenschutzberaterin oder Datenschutzberater unvereinbar sind, (c) über die erforderlichen Fachkenntnisse verfügt, und (d) der Verantwortliche die Kontaktdaten der Datenschutzberaterin oder des Datenschutzberaters veröffentlicht und dem EDÖB mitteilt.
\n\n
\n\n
8. Verzeichnis der Bearbeitungstätigkeiten
\n\n
\n\n
In Anlehnung an die DSGVO müssen der Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Das nDSG enthält eine Auflistung der jeweiligen Mindest-Informationen, die diese Verzeichnisse enthalten müssen. Neu muss das Verzeichnis der Bearbeitungstätigkeiten nicht mehr dem EDÖB gemeldet werden.
\n\n
\n\n
9. Vertreter in der Schweiz
\n\n
\n\n
Ähnlich wie unter der DSGVO müssen private Verantwortliche mit Sitz oder Wohnsitz im Ausland unter gewissen Voraussetzungen eine Vertretung in der Schweiz bezeichnen, wenn sie Personendaten von Personen in der Schweiz bearbeiten. Die Vertretung dient als Anlaufstelle für betroffene Personen und den EDÖB. Der Verantwortliche muss den Namen und die Adresse der Vertretung veröffentlichen. Die Voraussetzungen für die Bezeichnung des Vertreters und dessen Aufgaben werden in Art. 14 und 15 nDSG geregelt.
\n\n
\n\n
10. Bekanntgabe von Personendaten ins Ausland
\n\n
\n\n
Nach geltendem DSG dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Der EDÖB führt eine Liste mit einer generellen Einschätzung über das in den aufgeführten Ländern herrschende Datenschutzniveau. Diese unverbindliche Liste entbindet den Datenexporteur jedoch nicht von seiner Verantwortung, im Einzelfall zu prüfen, ob ein Land eine Gesetzgebung hat, die einen angemessenen Schutz bietet.
\n\n
\n\n
Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Ist dies der Fall, dürfen Personendaten ins Ausland transferiert werden. Ansonsten muss der Datenschutz durch Massnahmen gewährleistet werden, wie (a) einen völkerrechtlichen Vertrag, (b) Datenschutzklauseln zwischen den Vertragsparteien, die dem EDÖB vorgängig mitgeteilt wurden, (c) Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat (hierzu gehören die EU Standardvertragsklauseln), oder (d) verbindliche unternehmensinterne Datenschutzvorschriften (sogenannte Binding Corporate Rules - BCR), die vorgängig vom EDÖB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden (also beispielsweise die CNIL in Frankreich als Lead Authority). Der Bundesrat kann andere geeignete Garantien vorsehen. Denkbar wäre beispielsweise ein Nachfolgeabkommen des Swiss-US Privacy Shields.11
\n\n
\n\n
Abweichend von den oben genannten Grundsätzen dürfen Personendaten nur ins Ausland bekanntgegeben werden, wenn eine der Ausnahmen in Art. 17 nDSG vorliegt, wie beispielsweise die ausdrückliche Einwilligung der betroffenen Person.
\n\n
\n\n
11. Informationspflicht bei der Beschaffung von Personendaten
\n\n
\n\n
Die Informationspflicht wurde verschärft. Während heute eine Informationspflicht nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen besteht, muss neu der Verantwortliche die betroffenen Personen über die Beschaffung von Personendaten generell informieren. Die Mindestangaben, die in der Datenschutzerklärung gemacht werden müssen, sind in Art. 19 nDSG geregelt, wobei unterschieden wird, ob die Daten direkt bei der betroffenen Person beschafft wurden oder indirekt durch andere Quellen. Im Vergleich zur DSGVO sind diese Mindestangaben weniger umfassend. In einem Punkt geht das nDSG jedoch weiter als die DSGVO: Sofern Personendaten ins Ausland bekanntgegeben werden, muss der Verantwortliche den Staat des Empfängers mitteilen, unabhängig davon, ob es sich dabei um einen Staat mit angemessenem Datenschutzniveau oder um einen Drittstaat handelt.
\n\n
\n\n
Die Ausnahmen von der Informationspflicht wurden konkretisiert. Der private Verantwortliche kann weiterhin die Mitteilung der Information in gewissen Fällen einschränken, aufschieben oder darauf verzichten. Dies ist unter anderem möglich, wenn die überwiegenden Interessen des Verantwortlichen dies erfordern, und der Verantwortliche die Personendaten nicht an Dritte bekannt gibt, wobei Unternehmen, die zum selben Konzern gehören, nicht als Dritte im Sinne dieser Ausnahme gelten.
\n\n
\n\n
Neu muss der Verantwortliche grundsätzlich die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (sogenannte «automatisierte Einzelentscheidung») informieren. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird. Art. 21 nDSG sieht entsprechende Ausnahmen vor.
\n\n
\n\n
12. Durchführung von Datenschutz-Folgenabschätzungen
\n\n
\n\n
In Anlehnung an die DSGVO muss der Verantwortliche neu vor der Datenbearbeitung eine Datenschutz-Folgenabschätzung erstellen, sofern die Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Ein hohes Risiko ergibt sich, insbesondere bei der Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung (namentlich bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten und wenn systematisch umfangreiche öffentliche Bereiche überwacht werden).
\n\n
\n\n
Inhalt einer Datenschutz-Folgenabschätzung bildet die geplante Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit und die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte. Art. 22 nDSG sieht entsprechende Ausnahmen vor. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, kann eine gemeinsame Abschätzung vorgenommen werden.
\n\n
\n\n
Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so holt der Verantwortliche vorgängig die Stellungnahme des EDÖB ein. Von dieser Verpflichtung kann er absehen, wenn er eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 nDSG ernannt und diese oder diesen betreffend der in Frage stehenden Bearbeitung konsultiert hat.
\n\n
\n\n
13. Meldung von Verletzungen der Datensicherheit
\n\n
\n\n
Das nDSG führt, wie bereits aus der DSGVO bekannt, eine Meldung von Verletzungen der Datensicherheit ein, d.h. eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n\n
\n\n
Die gute Nachricht ist, dass die Meldepflicht nach nDSG etwas pragmatischer als unter der DSGVO ausgestaltet ist. Der Verantwortliche ist verpflichtet, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt, zu melden.
\n\n
\n\n
Anders als die DSGVO verlangt das nDSG für eine Meldung an den EDÖB ein hohes Risiko für die betroffene Person. Mit dieser Regelung soll verhindert werden, dass unbedeutende Verletzungen gemeldet werden. Es bleibt in der Verantwortung des Verantwortlichen, die Auswirkungen der Verletzung und das damit verbundene Risiko für die betroffenen Personen zu bestimmen.
\n\n
\n\n
Das nDSG schreibt im Gegensatz zur DSGVO keine bestimmte Frist vor, innert welcher die Mitteilung an den EDÖB erfolgen soll, sondern verlangt eine Meldung ab Kenntnisnahme so rasch als möglich. Der Verantwortliche muss schnell handeln, hat aber einen gewissen Ermessensspielraum. «Massgebend ist dabei unter anderem das Ausmass der Gefährdung der betroffenen Person. Je erheblicher die Gefährdung, je grösser die Anzahl der betroffenen Personen, umso schneller muss der Verantwortliche handeln».12 Auch muss der Verantwortliche die betroffene Person nur dann informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Massgebend ist, ob durch die Information die Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person reduziert werden können. Dies ist insbesondere der Fall, wenn die betroffene Person entsprechende Vorkehrungen zu ihrem Schutz treffen kann, zum Beispiel, indem sie ihre Zugangsdaten oder Passwörter ändert.13 Der Verantwortliche kann die Information an die betroffene Person unter gewissen Voraussetzungen einschränken, aufschieben oder darauf verzichten.
\n\n
\n\n
Der Auftragsbearbeiter hat keine eigene Meldepflicht an den EDÖB, muss aber dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit melden.
\n\n
\n\n
Art. 24 nDSG listet die Mindestanforderungen an die Meldung an den EDÖB auf.
\n\n
\n\n
14. Rechte der betroffenen Person
\n\n
\n\n
Auskunftsrecht: Das bisher in Art. 8 DSG geregelte Auskunftsrecht wird neu in Art. 25 nDSG geregelt. Der Grundsatz bleibt gleich. Der Verantwortliche teilt der betroffenen Person diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Diese Informationen entsprechen denjenigen, die schon aufgrund der Informationspflicht mitgeteilt werden müssen. Die Mindestangaben, die aufgrund eines Auskunftsgesuchs gemacht werden müssen, werden im Gesetz aufgelistet. Neu ist die Auskunftspflicht über automatisierte Einzelentscheidungen. In diesem Fall muss die betroffene Person auch über die Logik, auf der die Entscheidung beruht, informiert werden. Die betroffene Person kann verlangen, den eigenen Standpunkt zu äussern und dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
\n\n
\n\n
Die bisher geltenden Einschränkungen des Auskunftsrechts bestehen weiter. Neu kann ein Verantwortlicher das Auskunftsrecht «verweigern, einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist». Gemäss Botschaft14 ist diese Ausnahme eng auszulegen. Insbesondere muss der Verantwortliche die für die betroffene Person günstigere Lösung wählen. Er muss so weit wie möglich die Auskunft lediglich einschränken, darf sie allenfalls aufschieben und kann sie nur in den absolut eindeutigen, offensichtlichen Fällen verweigern.
\n\n
\n\n
Recht auf Datenportabilität: Neu hat die betroffene Person unter gewissen Voraussetzungen ein Recht auf Datenherausgabe oder -übertragung.15 Die betroffene Person kann verlangen, dass die Daten ihr oder, sofern dies keinen unverhältnismässigen Aufwand erfordert, einem anderen Verantwortlichen übertragen werden. Die Datenherausgabe muss grundsätzlich kostenlos und in einem gängigen elektronischen Format erfolgen. Die gleichen Einschränkungen wie zur Auskunftspflicht können geltend gemacht werden.
\n\n
\n\n
Rechtsansprüche: Die bisher geltenden Rechtsansprüche gelten weiterhin und sind in Art. 32 nDSG zusammengefasst. Das Recht auf Löschung oder Vernichtung wird im nDSG nun ausdrücklich geregelt, obwohl sich dieses implizit bereits aus dem bisherigen Recht ergibt.
\n\n
\n\n
15. Verwaltungsmassnahmen und Sanktionen
\n\n
\n\n
Dem EDÖB werden in Art. 51 nDSG erweiterte Kompetenzen gegeben. Neu kann er nicht nur Massnahmen empfehlen, sondern Verwaltungsmassnahmen auch verfügen. Zu diesen Massnahmen gehören beispielsweise Massnahmen gegen Datenbearbeitungen, die gegen die Datenschutzvorschriften verstossen, einschliesslich der Verfügung, Personendaten zu vernichten oder dem Verbot, Personendaten ins Ausland bekannt zu geben, sowie die Anordnung, eine Datenschutz-Folgenabschätzung durchzuführen oder einer betroffenen Person die Auskünfte zu erteilen. Nach wie vor kann der EDÖB keine Bussen aussprechen. Diese Kompetenz obliegt den Kantonen.16
\n\n
\n\n
Die Strafbestimmungen wurden signifikant verschärft.17 Neu können unter anderem private Personen (also anders als unter der DSGVO nicht Unternehmen!) auf Antrag mit Busse bis zu 250’000 Franken bestraft werden, wenn sie gegen ihre Informations- oder Auskunftspflichten verstossen oder ihre Sorgfaltspflichten verletzen, namentlich Personendaten ins Ausland bekanntgeben oder die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne die gesetzlichen Anforderungen zu erfüllen, oder die Mindestanforderungen an die Datensicherheit nicht einhalten. Wer dem EDÖB im Rahmen einer Untersuchung vorsätzlich die Mitwirkung verweigert macht sich ebenfalls strafbar.
\n\n
\n\n
Strafbar macht sich schliesslich auch, wer vorsätzlich eine berufliche Schweigepflicht verletzt, indem sie oder er geheime Personendaten vorsätzlich offenbart, von denen sie oder er bei der Ausübung ihres oder seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat. Mit dieser Bestimmung wird neu auch für Personen (und deren Hilfspersonen), die nicht unter das strafrechtlich sanktionierte Berufsgeheimnis fallen18, eine Schweigepflicht eingeführt. Die Verletzung der Schweigepflicht kann auf Antrag mit einer Busse bis zu 250’000 Franken bestraft werden.
\n\n
\n\n
Schliesslich wird mit einer Busse bis zu 250’000 Franken bestraft, wer vorsätzlich eine Verfügung des EDÖB oder einer Rechtsmittelinstanz unter Strafandrohung nicht befolgt.
\n\n
\n\n
Zu beachten ist, dass sich nur strafbar macht, wer vorsätzlich handelt, wobei Eventualvorsatz genügt. Addressaten der Strafbetimmungen sind grundsätzlich Leitungspersonen, also Personen, die selbständige Entscheidungsbefugnisse haben.19 Das Unternehmen kann nur dann direkt gebüsst werden, wenn die Busse nicht höher als 50'000 Franken ist und die Ermittlung der strafbaren Leitungsperson unverhältnismässige Untersuchungsmassnahmen bedingen würden.20
\n\n
\n\n
Zu beachten ist schliesslich, dass Verstösse gegen zentrale, neu im Gesetz verankerte Pflichten, wie das Führen eines Verzeichnisses der Bearbeitungstätigkeiten, die Meldung von Verstössen gegen die Datensicherheit oder die Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen, nicht direkt strafbewehrt sind.
\n\n
\n\n
Umsetzungsmassnahmen
\n\n
\n\n
Unternehmen sollten eine Datenmanagement-Analyse durchführen und ihren Konformitätsgrad mit dem nDSG sowie allfällige Lücken und Risiken identifizieren. Dabei sollte der Fokus insbesondere auf folgende Bereiche gelegt werden:
\n\n
\n\n
\n
die Governance Struktur,
\n
Datenschutz-Standards und Prozesse zur Einhaltung der Grundsätze und Datensicherheit,
\n
die Transparenz gegenüber den betroffenen Personen,
\n
das Verzeichnis der Datenbearbeitungen,
\n
die Datenflüsse innerhalb des Unternehmens und an Dienstleister (wobei hier insbesondere auch auf die neuesten Entwicklungen und das Positionspapier des EDÖB geachtet werden sollte21),
\n
die Prozesse zur Durchführung von Datenschutz-Folgenabschätzungen,
\n
Meldungen von Datensicherheitsverletzungen an den EDÖB sowie
\n
die Beantwortung von Auskunftsgesuchen.
\n
\n\n
\n\n
Unternehmen, welche bereits ein DSGVO Datenschutzprogramm eingeführt haben, werden einen geringeren Handlungsbedarf haben als Unternehmen, die nicht unter die DSGVO fallen oder noch keine entsprechenden Massnahmen ergriffen haben.
\n\n
\n\n
Viele Unternehmen werden aber ohnehin Konzepte wie Privacy by Design sowie Prozesse, die eine gesetzeskonforme Löschung oder Vernichtung der Daten und die Datenportabilität unterstützen, einführen müssen. Auch werden viele Unternehmen ihre Datenschutzerklärungen überprüfen und gegebenenfalls neu anpassen oder aber komplett neu erstellen müssen, um die Vorgaben des nDSG zu erfüllen. Verzeichnisse, welche heute Datensammlungen dokumentieren, werden ebenfalls neu strukturiert werden müssen, um Datenbearbeitungsvorgänge zu erfassen.
\n\n
\n\n
FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.
\n\n
\n\n
[1] Dieser Artikel ist eine aktualisierte Fassung des im Oktober 2020 von derselben Autorin veröffentlichten Artikels unter gleichem Titel.
[3] Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz (BBl 2017 6943)
[11] Am 8. September 2020 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) festgestellt, dass der Swiss-US Privacy Shield für die Übermittlung von Personendaten aus der Schweiz in die USA nicht mehr angemessen ist. Die Europäische Kommission und die Vereinigten Staaten kündigten im März 2022 eine «grundsätzliche Einigung» über den neuen transatlantischen Datenschutzrahmen (TADPF) an, der den Datenfluss zwischen der EU und den USA erleichtern und die Bedenken ausräumen soll, die der Europäische Gerichtshof im Jahr 2020 in der Schrems-II-Entscheidung geäussert hatte. US-Präsident Biden erliess daraufhin im Oktober 2022 die «Executive Order On Enhancing Safeguards for United States Signals Intelligence Activities» (Exekutivanordnung zur Verbesserung der Sicherheitsvorkehrungen für die Aktivitäten der US-Signalbehörden), mit der die Verpflichtungen der USA im Rahmen des TADPF umgesetzt werden. Am 13. Dezember 2022 veröffentlichte die Europäische Kommission den Entwurf eines Angemessenheitsbeschlusses, in dem sie zu dem Schluss kommt, dass der Datenschutzrahmen zwischen der EU und den USA ein angemessenes Schutzniveau für personenbezogene Daten bietet, die von EU-Unternehmen in die USA übermittelt werden. Eine endgültige Entscheidung der Europäischen Kommission wird etwa Mitte 2023 erwartet.
Das neue Schweizerische Datenschutzgesetz (nDSG) tritt zusammen mit der neuen Datenschutzverordnung (DSV) und der neuen Verordnung über die Datenschutzzertifizierung (VDSZ) am 1. September 2023 in Kraft. Das nDSG führt neue Pflichten für Unternehmen und Behörden ein, verbessert die Rechte der betroffenen Personen und verschärft die persönliche Strafbarkeit bei Verstössen gegen das Datenschutzgesetz erheblich. Was müssen Unternehmen in der Schweiz und im Ausland wissen, um eine datenschutzkonforme Datenbearbeitung sicherzustellen? Dieser Artikel fasst die wichtigsten Änderungen für Unternehmen zusammen.
\n","preview":"","datei":[],"linkextern":""},{"id":170,"title":"Was hat Datenschutz mit digitaler Transformation zu tun?","slug":"was-hat-datenschutz-mit-digitaler-transformation-zu-tun","link":"/de/news/was-hat-datenschutz-mit-digitaler-transformation-zu-tun","titel":"Was hat Datenschutz mit digitaler Transformation zu tun?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Die Digitalisierung erlaubt es, Daten immer besser und schneller zu sammeln und analysieren. Sind Personendaten involviert, muss der Datenschutz eingehalten werden.
\n\n
\n\n
Am 1. September 2023 tritt das revidierte Datenschutzgesetz (DSG) in Kraft, mit neuen Pflichten und verschärften Sanktionen.
\n\n
\n\n
Eckpunkte des revidierten DSG
\n\n
Besonders schützenswerte Daten umfassen neu genetische und biometrische Daten. Profiling und Profiling mit hohem Risiko, also die automatisierte Bearbeitung von Personendaten, um persönliche Aspekte zu analysieren oder vorherzusagen, wurden eingeführt. Jede Person kann vom Verantwortlichen die Herausgabe ihrer Personendaten, die sie diesem bekanntgegeben hat und automatisiert bearbeitet werden, in einem gängigen elektronischen Format verlangen. Verantwortliche müssen betroffene Personen über die Beschaffung von Personendaten sowie automatisierte Einzelentscheidungen informieren. Datenbearbeitungen müssen ab Planung durch geeignete Massnahmen die Einhaltung der Datenschutzvorschriften gewährleisten (Privacy by Design) und bei hohem Risiko einer Datenschutz-Folgenabschätzung unterzogen werden. Neu muss ein Bearbeitungsverzeichnis geführt werden und die Datensicherheit durch geeignete technische und organisatorische Massnahmen gewährleistet sein. Verletzungen der Datensicherheit müssen je nach Risiko dem EDÖB gemeldet werden.
\n\n
\n\n
Verschärfte Sanktionen
\n\n
Wer vorsätzlich gegen Informations-, Auskunfts oder Sorgfaltspflichten verstösst, namentlich die Datensicherheits-Anforderungen nicht einhält, Personendaten ins Ausland bekanntgibt oder ohne Erfüllung der gesetzlichen Anforderungen Auftragsbearbeiter einsetzt, riskiert eine Busse bis zu 250'000 Franken. Adressat der Busse ist nicht das Unternehmen, sondern die Leitungsperson mit entsprechender Entscheidungs- und Weisungskompetenz.
\n\n
\n\n
Was können Unternehmen tun?
\n\n
Unternehmen sollten frühzeitig ihre Bearbeitungstätigkeiten erfassen, Datenschutzerklärungen prüfen und ggf. anpassen und Prozesse zur Sicherstellung der gesetzeskonformen Umsetzung der Datenschutzanforderungen und Pflichten implementieren.
\n\n
\n","datum":"18.12.2022","teasertext":"
Die Digitalisierung erlaubt es, Daten immer besser und schneller zu sammeln und analysieren. Sind dabei Personendaten involviert, so darf der Datenschutz nicht vergessen werden. In einem Artikel im Magazin \"Ausblick 2023\" spricht Daniela Fábián Masoch über die wichtigsten Änderungen, die das Inkrafttreten des revidierten Datenschutzgesetzes per 1. September 2023 mit sich bringt, und wie Unternehmen sich darauf vorbereiten können.
\n","preview":"","datei":[],"linkextern":""},{"id":174,"title":"Das neue Schweizer Datenschutzgesetz - Was Sie wissen müssen (auf Englisch)","slug":"das-neue-schweizer-datenschutzgesetz-was-sie-wissen-muessen","link":"/de/news/das-neue-schweizer-datenschutzgesetz-was-sie-wissen-muessen","titel":"Das neue Schweizer Datenschutzgesetz - Was Sie wissen müssen (auf Englisch)","text":"
Das revidierte Bundesgesetz über den Datenschutz (DSG-Neu) tritt am 1. September 2023 in Kraft, zusammen mit den Ausführungsbestimmungen in der neuen Datenschutzverordnung (DSV) und der neuen Verordnung über Datenschutzzertifizierungen (VDSZ).
\n\n
\n\n
Obwohl die Datenschutzgrundsätze im Wesentlichen unverändert bleiben, werden Unternehmen verschiedene neue Pflichten auferlegt. Zu diesen Pflichten zählen zum Beispiel eine erweiterte Informationspflicht bei der Beschaffung von Personendaten, die Durchführung von Datenschutz-Folgenabschätzungen, die Führung eines Verzeichnisses der Bearbeitungstätigkeiten, die Einführung von Datenschutz durch Technik sowie die Meldung von Verletzungen der Datensicherheit. Zudem werden die Strafbestimmungen für natürliche Personen erheblich verschärft.
\n\n
\n\n
Da das DSG-Neu keine Übergangsfristen vorsieht, sollten Unternehmen bereits jetzt analysieren, inwiefern ihre internen Richtlinien und Prozesse im Bereich Datenmanagement die neuen Anforderungen erfüllen.
\n\n
\n\n
Dieses Webinar auf Mondaq unterstreicht die neuen Pflichten für Unternehmen und die Folgen im Falle von Nichteinhaltung. Der Handlungsbedarf für Unternehmen wird anhand von praktischen Umsetzungsbeispielen aufgezeigt. Zudem werden die wichtigsten Unterschiede im Vergleich zur EU DSGVO dargelegt.
\n\n
\n\n
Bitte beachten Sie, dass das Webinar nur auf Englisch verfügbar ist.
\n\n
\n\n
Um das Webinar als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Um das Webniar direkt auf der Mondaq Website anzuschauen, klicken Sie bitte hier.
\n","datum":"07.12.2022","teasertext":"
Dieses Webinar auf Mondaq unterstreicht die neuen Pflichten für Unternehmen und die Folgen im Falle von Nichteinhaltung. Der Handlungsbedarf für Unternehmen wird anhand von praktischen Umsetzungsbeispielen aufgezeigt. Zudem werden die wichtigsten Unterschiede im Vergleich zur EU DSGVO dargelegt.
\n","preview":"","datei":[],"linkextern":""},{"id":163,"title":"Strategie zum Umgang mit Datenschutzverletzungen","slug":"strategie-zum-umgang-mit-datenschutzverletzungen","link":"/de/news/strategie-zum-umgang-mit-datenschutzverletzungen","titel":"Strategie zum Umgang mit Datenschutzverletzungen (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Data Breach Response Strategy
\n\n
\n\n
1 Introduction
\n\n
\n\n
Laws around the world impose strict data security obligations on organisations that process personal data, and in some cases require them to report data breaches to data protection authorities and individuals affected by the data breach. In addition to significant sanctions for failing to take appropriate technical and organisational measures to protect data, and potentially for failing to report a data breach as required by law, organisations may suffer, among other things, loss of stakeholder trust, reputational damage, and disruption of business activities as a result of a data breach, leading to economic losses. In addition, there are significant costs associated with managing a data breach and remediating the damage caused by the breach.
\n\n
\n\n
Investing in data security to prevent data breaches, such as those caused by cyberattacks or employee errors, and being prepared to respond in the event of a data breach is therefore worthwhile not only to comply with the legal obligations, but also to avoid negative consequences for the organisation and its stakeholders.
\n\n
\n\n
This article elaborates on what constitutes a personal data breach and what a data breach prevention and response strategy might look like. It is limited to dealing with data breaches involving personal data and takes the requirements of the General Data Protection Regulation (GDPR) as a starting point, but without limiting itself to the GDPR.
\n\n
\n\n
2 What is a Data Breach and its Potential Consequences?
\n\n
\n\n
A data breach (also called a personal data breach or security breach) occurs when personal data held by an organisation is lost or subjected to unauthorised access, modification, disclosure, or other misuse or interference. The GDPR defines the term personal data breach as a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored, or otherwise processed. Privacy laws in other jurisdictions contain similar, though not identical, definitions.
\n\n
\n\n
In its Opinion 03/2014 on data breach notification and its Guidelines on personal data breach notification under Regulation (EU) 2016/679 (WP250rev.01), the Article 29 Data Protection Working Party divided data breaches into three security principles:
\n\n
\n\n
\n
Confidentiality breach – where there is an unauthorised or accidental disclosure of, or access to, personal data.
\n
\n\n
\n\n
\n
Integrity breach – where there is an unauthorised or accidental alteration of personal data.
\n
\n\n
\n\n
\n
Availability breach – where there is an accidental or unauthorised loss of access to, or destruction of, personal data.
\n
\n\n
\n\n
Examples of data breaches include the loss or theft of a data carrier (e.g., notebook, phone, USB stick, paper files) containing unencrypted personal data of customers or employees (breach in confidentiality, and potentially availability if there is no backup for the stolen device); the successful penetration of an organisation’s computer systems containing personal data for the purpose of copying, exfiltrating, and misusing personal data for malicious purposes (breach in confidentiality and possibly integrity); a ransomware attack in which the attacker encrypts data with a malicious code and then demands a ransom from the attacked organisation in exchange for the decryption key (availability breach, and possibly confidentiality breach); the unauthorised downloading of personal data by a terminated employee for further private use (confidentiality breach); the inadvertent disclosure of personal data by an employee to unauthorised persons inside or outside the organisation, e.g., by sending it to an incorrect address or by sending a file that inadvertently contains personal data not intended for the recipients (confidentiality breach).
\n\n
\n\n
A data breach may have various negative effects on individuals and result in physical, material and immaterial damage. It may, for example, cause the affected individual to lose control over his or her personal data or to be restricted in the exercise of his or her personal rights, to suffer financial loss or personal disadvantage, emotional distress, embarrassment or humiliation, or damage to his or her reputation. Possible consequences may also include identity theft or fraud, loss of employment or business opportunities, unwanted marketing or spam, reversal of pseudonymisation, or other significant economic or social disadvantages.
\n\n
\n\n
Organisations can also suffer harm as a result of a data breach. Responding to a data breach and potential subsequent complaints and implementing remedial actions may have financial, legal and resource implications. Data breaches can further result in reputational damage and loss of stakeholder trust.
\n\n
\n\n
According to the Ponemon Institute’s 2021 Cost of a Data Breach Report, the average total cost of a data breach increased by nearly 10% year over year. The amount increased from $3.86 million in 2020 to $4.24 million in 2021, with costs being significantly lower for organisations with more mature security levels. The average total cost was $1.07 million higher for breaches where remote work was a factor in the breach, compared to breaches where remote work was not a factor. The average total cost per record containing personal data was $161. The longer it took to detect the breach, the more expensive it was, with 38% of the costs related to lost business (including business interruption and lost revenue due to system downtime, cost of lost customers and acquiring new customers, loss of reputation, and diminished goodwill). 29% of the costs related to detection and escalation. The remaining cost drivers were post-breach response (27%), and notification (6%). The costliest initial attack vectors were business emails, followed by phishing, malicious insiders, social engineering, and compromised credentials.
\n\n
\n\n
3 Data Breach Notification Requirements
\n\n
\n\n
Many countries around the world have introduced data breach notification regulations. The first laws were enacted in the U.S. at the state level starting in 2002 (California). Other countries have followed, such as the EU Member States and the United Kingdom with the General Data Protection Regulation (GDPR) and the UK Data Protection Regulation (UK GDPR), respectively, as well as other countries around the world, such as Australia, Brazil, China, Colombia, Egypt, Ghana, Israel, Kenya, Mexico, New Zealand, the Philippines, Singapore, South Korea, Switzerland, Taiwan, Thailand and Uruguay.
\n\n
\n\n
Independent of data breach notification requirements, most countries in the world have introduced data security obligations that must be implemented by data controllers and data processors.
\n\n
\n\n
4 Data Breach Response Strategy
\n\n
\n\n
Although security requirements and the conditions and modalities of notification obligations may vary from country to country, any organisation that processes personal data and is subject to security and notification obligations should define and implement a data security and breach management strategy to ensure adequate data security and risk mitigation in the event of an incident and be prepared to deal with any data breaches.
\n\n
\n\n
The data breach response strategy does not need to be stand-alone but can and should be aligned with other internal data management and security strategies, e.g., information security, where possible. It should cover three key factors: prevention; response; and improvement.
\n\n
\n\n
4.1 Prevention – Implement appropriate TOMs
\n\n
\n\n
Even with the best possible security, data breaches cannot be completely avoided. However, data breaches are often the result of a vulnerable and outdated security regime or system weaknesses. Prevention through the adoption of appropriate security measures is therefore key to preventing vulnerabilities in systems or insufficient security that can potentially lead to a data breach.
\n\n
\n\n
Data and risk mapping: Only if organisations know what types of data breaches could occur and understand the characteristics of these breaches, they can take the necessary technical and organisational measures (TOMs) to reduce the risk of a successful attack or breach.
\n\n
\n\n
The basic prerequisite is first that companies know what types of data and personal data they process, who the data subjects are and their locations, where the data is stored and who should have access to it. This knowledge requires the mapping of all data systems, products and services that process personal data and their classification. Organisations should then assess the risk level to their organisation and to individuals in the case of a data breach as well as identify the possible types of attacks and based on that understanding and the level of risk, take the appropriate technical and organisational measures to mitigate the consequences in the case of a data breach.
\n\n
\n\n
Implementation of TOMs: Based on the risk level, such TOMs may include a state-of-the-art encryption of the data at rest and a separate back-up of the data to help mitigate the consequences of a successful ransomware attack or the loss or theft of a device with personal data. In addition to a state-of-the-art encryption, measures such as key management, regular updates of systems, use of strong authentication methods like two factor authentication, firewalls, etc. may help to mitigate the consequences of data exfiltration. Regular awareness campaigns and training to staff on security aspects, instructions on how to use company devices and information as well as the implementation of technical measures and controls may help to prevent human errors.
\n\n
\n\n
External resources and insurance coverage: Besides the implementation of robust TOMs, organisations should evaluate in advance what type of external expertise is required in the case of a data breach and ensure that such expertise is available on short notice, which may require the negotiation of frame contracts in advance. Additionally, organisations may consider holding an insurance policy for data breaches.
\n\n
\n\n
Data breach response plan: Finally, organisations should deploy a data breach response plan that sets out procedures, modalities, and responsibilities in the event the organisation experiences a data breach (or a suspected data breach, i.e., a security incident) to respond to a data breach in a timely and efficient manner.
\n\n
\n\n
4.2 Response – Implement a data breach response plan
\n\n
\n\n
4.2.1. Why a data breach response plan?
\n\n
\n\n
Due to the usually very short timelines for reporting a data breach to the data protection authorities and individuals (at least in some countries, including the EU), it is critical that each organisation handling personal data put in place a documented data breach response plan. Implementing such a plan can help organisations in (a) mitigating the impact on the organisation and affected individuals and the costs resulting from the data breach, (b) meeting their data security obligations, (c) protecting important business assets, including personal data of their employees and clients and the company’s reputation, (d) dealing with negative media or stakeholder attention, and (e) instilling public confidence and trust in the organisation’s capacity to protect personal data entrusted to the company by properly responding to a data breach.
\n\n
\n\n
The data breach response plan should be aligned with other plans as appropriate, such as existing security incident response, disaster recovery, business continuity, or contingency plans. This approach can ensure effective management with clear responsibilities, avoid duplication, and leverage synergies.
\n\n
\n\n
4.2.2. Content of a data breach response plan
\n\n
\n\n
A data breach response plan shall establish the rules and processes on how to handle a data breach in compliance with internal standards and legal and regulatory requirements. It shall outline what a data breach is, possibly providing some concrete examples tailored to the specific organisation, allocate the roles and responsibilities for detecting, responding, and documenting a data breach, describe the process for handling a data breach, from detection to notification and risk mitigation, and specify the obligations towards third parties processing the data on their behalf.
\n\n
\n\n
4.2.3. Establishment of an incident response team
\n\n
\n\n
While in small organisations, the managing director or owner is often the person who deals with a data breach, usually with external assistance, establishing an incident response team has proven effective in mid-sized and larger organisations. The purpose of such a team is to ensure that in the event of a data breach, the relevant functions are immediately engaged, and data breaches can be promptly addressed, risks assessed, and any required notifications made in a timely manner.
\n\n
\n\n
The composition of the team will depend on the organisation and the nature of the business, but will typically require different skill sets, which can be ensured by involving internal functions and external legal, data forensics, and media management experts. Organisations should assess in advance what type of external expertise will be needed in the event of a data breach and ensure that this expertise is available on short notice. The organisation should maintain and regularly update a current list of team members, including their roles, responsibilities, and contact details, as well as the contact information of their delegates. Team members should receive regular training and participate in mock exercises. The response team should consist of a core team that includes, at a minimum, the data protection officer, and the information security officer, and should be extended to include other functions such as human resources, research and development, or communications, as well as outside legal counsel and forensic analysts, depending on the severity and nature of the incident.
\n\n
\n\n
The incident response team shall be responsible for managing the overall data breach, investigating, and reviewing the circumstances of the data breach and the facts of the case, engaging relevant functions and external experts, assessing the level of risk, determining remediation actions, determining the need for internal escalation, and notifying data protection authorities and individuals. The data breach response plan should identify the specific responsibilities of each member of the response team.
\n\n
\n\n
4.2.4. Process for responding to a data breach
\n\n
\n\n
The process for responding to a data breach typically includes different steps, starting from the detection of the data breach and reporting to the immediate containment, investigation of the data breach, risk evaluation, internal escalation, notification, and documentation.
\n\n
\n\n
Detection and reporting: Each employee should understand how to recognise a potential data breach and know how to report such a data breach or suspected data breach (security incident) to the incident response team, that will immediately perform a preliminary evaluation and determine if the incident qualifies as a data breach.
\n\n
\n\n
Containment: Once the source of the data breach has been identified, the data breach should be contained immediately to prevent further exposure of personal data, for example, and depending on the concrete impact, by remediating identified vulnerabilities in systems, recovering records, shutting down the compromised system, restricting access to data, recalling sent emails containing personal data that were inadvertently attached to the email or sent to the wrong recipients, or deleting them from the accounts of the unintended recipients.
\n\n
\n\n
Investigation: The incident response team should investigate and document the facts and circumstances of the data breach, including the causes of the data breach such as any vulnerabilities in the computer systems; the nature of the data breach (breach of confidentiality, availability, or integrity); the nature, scope, and sensitivity of the personal data involved, as well as the origin of the data; the type, number, and location of data subjects; applicable data protection laws; and notification requirements.
\n\n
\n\n
Risk evaluation: Based on the outcome of the investigation and taking into account the type of personal data compromised, the extent of the data breach, and the type and number of individuals affected by the data breach, the incident response team must assess the level of risk of the data breach to the rights and freedoms of data subjects and the organisation. To assess the level of risk, they must determine the impact that the data breach could have on the rights and freedoms of individuals and the likelihood that this impact will actually occur. The greater the impact and the greater the likelihood, the higher the risk. Essential elements for determining the impact on individuals are the ease of their identification (how easily can an individual be identified from the compromised data?) and the severity (how much harm can be caused by the data breach?). Key elements in determining the likelihood of the identified impact actually occurring are the potential vulnerabilities due to the lack of appropriate TOMs and the ability to exploit those vulnerabilities or the intent of the individuals accessing or possessing the data (was the data exfiltrated by a hacker with malicious intent or sent by an employee to the wrong recipient in the same organisation by mistake?).
\n\n
\n\n
Escalation: The data breach response plan should define the internal escalation process, which should depend on the severity and extent of the breach, the level of risk identified, and the requirement for notification.
\n\n
\n\n
Notification: The incident response team determines, based on all the facts and the risk evaluation, whether the data breach must be notified to local data protection authorities and affected individuals, and if so, when, where, and how. The data breach response plan should identify which function is responsible for notifying the authorities and individuals. Generally, this task is assigned to the data protection officer. It is also advantageous if possible scenarios requiring notification have already been worked through and documented.
\n\n
\n\n
Documentation: Any data breach, whether notified to data protection authorities and/or individuals or not, shall be documented, including the facts and circumstances of the breach, its effects, and the corrective actions taken and planned to prevent future similar data breaches, the risk evaluation, and the appropriate justification for the decisions made with respect to the notification to data protection authorities and individuals.
\n\n
\n\n
4.2.4. Considerations in implementing a data breach response plan globally
\n\n
\n\n
Given the large number of countries with data breach notification requirements, globally operating companies are faced with the challenge of finding solutions that are as comprehensive and uniform as possible in order to, on the one hand, deal with data breaches uniformly and efficiently across the organisation and, on the other hand, take into account the specifics of the individual countries.
\n\n
\n\n
When implementing a data breach response plan globally, companies must take into account locally applicable data privacy and security laws, as well as notification requirements and modalities, languages, and cross-border data transfer restrictions, and align the data breach response plan accordingly. Companies should also decide what the internal reporting channel for discovered data breaches should be. Depending on their organisational set-up, they could establish one global reporting channel or separate regional or local reporting channels. Also, organisations must determine where data breaches should be documented (in a centralised system or locally), and whether a global incident response team should be deployed around the world or regional/local response teams should be established.
\n\n
\n\n
4.3 Improvement – Address security gaps to prevent future (similar) data breaches – regularly re-evaluate the data breach response plan to increase effectiveness
\n\n
\n\n
The third phase of the data breach response strategy consists of improvements in two respects: addressing identified vulnerabilities to prevent future similar data breaches; and increasing the effectiveness of the data breach response plan.
\n\n
\n\n
Address any identified security vulnerabilities to prevent future similar data breaches. Once the notification and documentation process is complete, the incident response team should determine and implement appropriate measures to prevent future similar data breaches. Depending on the concrete type of data breach and the root cause, such measures may include, for example, conducting regular security audits and reviewing and updating policies and procedures in light of lessons learned, reviewing and amending contracts with third parties to ensure appropriate handling of data breaches. Other measures may include, for example, restricting the downloading of personal data to mobile devices without adequate security protection, such as state-of-the-art encryption or the establishment of separate backups of specific data sets, and regular training for the business units concerned.
\n\n
\n\n
Periodically re-evaluate the data breach response plan to increase its effectiveness taking into account changes in applicable data protection laws, best practices and internal business requirements.
\n\n
\n\n
5 Conclusion
\n\n
\n\n
Data security is one of the essential obligations of any organisation that processes personal data. A breach of the confidentiality, integrity or availability of data can have negative consequences not only for the individuals concerned, but also for the responsible organisation. A data breach can result in notification obligations, significant costs to contain the data breach and repair the damage caused by the breach, as well as loss of stakeholder trust, reputational damage, and business disruption. Investing in data security to prevent data breaches, such as those caused by cyberattacks or human error, and being prepared to respond in the event of a data breach is therefore essential for any organisation to meet its legal obligations and avoid negative consequences for itself and individuals affected.
\n","datum":"13.07.2022","teasertext":"
Unternehmen, die personenbezogene Daten verarbeiten, müssen weltweit strenge gesetzliche Auflagen in Bezug auf Datensicherheit und allfällige Meldungen von Datenschutzverletzungen an Datenschutzbehörden und betroffene Personen befolgen. Verstösse können zu erheblichen Sanktionen, Vertrauensverlust, Imageschäden und Unterbrüchen der Geschäftstätigkeit führen. Es lohnt sich daher, in präventive Datensicherheitsmassnahmen zu investieren und vorbereitet zu sein, um im Falle einer Datenschutzverletzung richtig reagieren zu können. Dieser Artikel erläutert, was eine Datenschutzverletzung ist und wie eine Strategie zum Umgang mit Datenschutzverletzungen aussehen könnte. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":127,"title":"Juristisch \"à jour\" sein mit der digitalen Entwicklung - für Firmen heute unerlässlich","slug":"juristisch-a-jour-sein-mit-der-digitalen-entwicklung-fuer-firmen-heute-unerlaesslich","link":"/de/news/juristisch-a-jour-sein-mit-der-digitalen-entwicklung-fuer-firmen-heute-unerlaesslich","titel":"Juristisch \"à jour\" sein mit der digitalen Entwicklung - für Firmen heute unerlässlich","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Dem Thema Datenschutz kommt in einer zunehmend digitalisierten Welt grosse Bedeutung zu. Die Rechtsprechung passt sich dieser Entwicklung an, mit neuen Regularien und Gesetzen. Daniela Fábián, Gründerin von FABIAN PRIVACY LEGAL, unterstützt Unternehmen dabei, diesen Vorgaben nachzukommen.
\n\n
\n\n
Interview mit Daniela Fábián, Anwältin und Geschäftsführerin FABIAN PRIVACY LEGAL
\n\n
\n\n
Daniela Fábián, welches sind die juristischen Frage- und Problemstellungen, mit denen Ihre Kundinnen und Kunden an Sie herantreten?
\n\n
\n\n
Zu meinen Kunden gehören Konzerne, KMUs und Start-ups. Diese Unternehmen brauchen Unterstützung bei der Umsetzung der datenschutzrechtlichen Anforderungen, die sich aufgrund neuer Gesetze und der sich wandelnden Rechtsprechung ergeben. Ich unterstütze sie in der Risiko- und Bedarfsanalyse und der Entwicklung und Implementierung ihrer Datenschutzstrategie und -programme sowie bei der Beantwortung unterschiedlicher Praxisfragen. Unternehmen, die bereits ein Datenschutzprogramm implementiert haben, suchen uns auf, um sie bei der weltweiten Umsetzung ihrer globalen Datenschutzstrategie oder bei spezifischen Projekten zu unterstützen.
\n\n
\n\n
Was raten Sie Unternehmen in der Schweiz, die dieses Thema bisher noch nicht vertieft behandelt haben?
\n\n
\n\n
Mit dem totalrevidierten DSG kommen neue Pflichten auf Unternehmen zu, wie etwa erweiterte Informations- und Meldepflichten, die Durchführung von Datenschutz-Folgenabschätzungen und die Dokumentation von Bearbeitungstätigkeiten. Unternehmen müssen jetzt handeln. Zunächst sollten sie sich einen Überblick über die Ist-Situation verschaffen. Welche Personendaten bearbeiten wir und zu welchen Zwecken? Sind die betroffenen Personen informiert? Woher stammen die Daten, wo werden sie gespeichert und wer hat Zugriff darauf? Welche internen Prozesse und Regelungen bestehen? Solche und ähnliche Fragen stehen im Zentrum und helfen dabei, Lücken und Risiken zu identifizieren. Darauf basierend lässt sich eine Risikoanalyse vornehmen.
\n\n
\n\n
Um welche Risiken geht es dabei?
\n\n
\n\n
Dies unterscheidet sich je nach Unternehmen und Branche. Zum Beispiel müssen Pharma- und Medtech-Firmen, die mit sensiblen Patientendaten arbeiten, anderen Anforderungen genügen als etwa Logistikunternehmen. Der internationale Datentransfer und die Auslagerung der Datenbearbeitung können ebenfalls zu einem Risiko werden, wenn nicht alle erforderlichen Massnahmen getroffen werden. Schliessich nehmen Cyberattacken zu und ein Zuwiderhandeln gegen das DSG kann Geldbussen sowie Reputationsschäden nach sich ziehen.
\n\n
\n\n
Können Sie ein konkretes Beispiel dafür nennen, wie Firmen Ihr Fachwissen nutzen?
\n\n
\n\n
In der Regel suchen meine Kunden meine praktische Erfahrung bei der Umsetzung pragmatischer Datenschutzmanagementprogramme und -lösungen. Meine Expertise ist etwa auch bei der Entwicklung von Apps, zentralen Datenschutzmanagementsystemen oder digitalen Marketingkampagnen gefragt. Bei solchen Projekten ist es wichtig, alle relevanten Datenschutzanforderungen und -grundsätze bereits in der Konzeptionsphase in die Prozesse und Systeme einzubinden. Auch bei Verträgen mit komplexen Datenflüssen und der Beteiligung mehrerer Parteien besteht oft Unterstützungsbedarf.
\n\n
\n\n
Die digitale Technologie entwickelt sich rasant. Welche Fragen und Anliegen werden Sie und Ihre Kundinnen und Kunden künftig beschäftigen?
\n\n
\n\n
Für Schweizer Unternehmen wird neben der Umsetzung des revidierten DSG der internationale Datenfluss und damit verbunden die Überprüfung der Outsourcing-Strategie eine Priorität bleiben. Im Weiteren wird der Einsatz von künstlicher Intelligenz in vielen Bereichen weiter zunehmen, was immer auch Datenschutzfragen aufwirft sobald Personendaten involviert sind, Profile erstellt oder automatisierte Entscheide erfolgen. Auch das Konzept «Privacy by Design», gemäss dem die Datenbearbeitungsgrundsätze bereits bei der Entwicklung neuer Tools berücksichtigt und technisch umgesetzt werden müssen, wird Unternehmen aller Art zunehmend beschäftigen. Richtig umgesetzt, kann damit das Risiko von Datenschutzverletzungen und Cyberattacken reduziert werden.
\n\n
\n\n
Ihre Anwaltskanzlei ist spezialisiert auf internationales, europäisches und schweizerisches Datenschutzrecht, Governance, Risikomanagement und Programmimplementierung. Wie kam es zu dieser Spezialisierung?
\n\n
\n\n
Datenschutz begleitet mich schon seit meiner Assistenzzeit an der Uni Basel. Später arbeitete ich als In-House-Anwältin bei Novartis, wo ich unter anderem die Verantwortung für den globalen Datenschutz übernahm und für den Konzern das globale Datenschutzprogramm und die «Binding Corporate Rules» entwickelt und weltweit implementiert habe. In dieser Zeit konnte ich mir ein tiefgreifendes Wissen in diesem damals noch neuen Thema aneignen. Mit dieser Erfahrung machte ich mich Ende 2015 mit meiner eigenen Kanzlei selbstständig. Heute begleite ich Unternehmen, viele davon aus dem Pharma- und Life-Sciences-Sektor, von der ersten Analyse über die Risikoeinschätzung bis hin zur Entwicklung und Implementierung von Datenschutzprogrammen. Dazu gehört auch das Training von Mitarbeitenden, um ein durchgehendes Verständnis für die Relevanz des Themas zu kultivieren und Awareness zu schaffen. Um sicherzustellen, dass wir für alle Anliegen, einschliesslich IT-relevanter Themen und anderer Rechtsordnungen, die notwendige Expertise bereitstellen können, arbeiten wir mit Kooperationspartnern in unterschiedlichen Bereichen und in diversen Ländern.
\n","datum":"25.04.2022","teasertext":"
In einem Interview mit dem Magazin Fokus Rechtsguide erklärt Daniela Fábián Masoch, was Unternehmen tun sollten, um aus einer datenschutzrechtlichen Perspektive mit der digitalen Entwicklung Schritt zu halten und neue gesetzliche Anforderungen, wie sie zum Beispiel aus dem totalrevidierten Datenschutzgesetz hervorgehen, zu erfüllen.
\n","preview":"","datei":[],"linkextern":""},{"id":129,"title":"Privacy by Design als Grundvoraussetzung für die Verarbeitung personenbezogener Daten (auf Englisch)","slug":"privacy-by-design-as-a-fundamental-requirement-for-the-processing-of-personal-data","link":"/de/news/privacy-by-design-as-a-fundamental-requirement-for-the-processing-of-personal-data","titel":"Privacy by Design als Grundvoraussetzung für die Verarbeitung personenbezogener Daten (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Privacy By Design as a fundamental requirement for the processing of personal data
\n\n
\n\n
Privacy by design (“PbD”) is a fundamental requirement for privacy-compliant processing of personal data and is, in principle, a well-known approach. Nevertheless, PbD is often not consistently implemented, in some cases leading to significant consequences and costs for organisations. This article describes the concept of PbD and its practical implementation under the application of the European Union (“EU”) General Data Protection Regulation (EU) 2016/679 of 27 April 2016 (“GDPR”).
\n\n
\n\n
1 Introduction
\n\n
\n\n
The ongoing development of new and complex technologies such as artificial intelligence (“AI”), blockchain, or the Internet of Things (“IoT”) and their increasing use, as well as ongoing digitisation and centralisation of data management, are leading to increasingly sophisticated ways of automating the processing of enormous amounts of data, facilitating data flows and availability, profiling consumers, customers, patients, or job applicants, and making automated decisions.
\n\n
\n\n
To reap the benefits of these technologies, digitisation, and new business models in connection with the processing of personal data, those who develop or deploy them must consider and implement applicable data protection principles and requirements through appropriate and adequate technical and organisational measures from the outset, already at the design stage, and continuously monitor, adjust and update them throughout the lifecycle of the system, product, or process.
\n\n
\n\n
With this PbD approach, a company can ensure compliance with legal requirements, meet the expectations of individuals and stakeholders, build trust, make strategic and operational decisions with foresight and efficiently implement business processes. This can include, for example, storing data on servers in the EU or Switzerland instead of in the U.S.A. or purchasing software with integrated data protection principles.
\n\n
\n\n
PbD has become a critical factor in building and maintaining trust, competitiveness and success in the marketplace.
\n\n
\n\n
2 The Concept of PbD
\n\n
\n\n
The concept of PbD is a fundamental requirement for the effective implementation of data protection. In essence, PbD requires that controllers consider data protection principles and requirements both at the design stage of systems, processes, products or services that involve the processing of personal data, and throughout the lifecycle of personal data, and that they provide for appropriate technical and organisational measures (“TOMs”) to implement data protection requirements and protect the rights of data subjects. Controllers must be proactive and anticipate potential privacy intrusions before they occur.
\n\n
\n\n
One of the fundamental elements of PbD is “privacy by default”. This concept requires that the controller implements appropriate TOMs to ensure that, by default, only personal data that is necessary to fulfil the specific purpose is processed. PbD must be implemented in terms of the amount of data collected, the scope of its processing, the duration of its storage, its security, and its accessibility.
\n\n
\n\n
While the concept of PbD has long existed as good practice, it was introduced as a legal obligation for controllers in Art. 25 GDPR, with significant fines for non-compliance. In introducing the PbD concept, the legislator primarily wanted to emphasise that it is not enough to set standards, and that the controller must also implement these standards in an effective and verifiable manner. Other laws have also adopted the concept of PbD, most recently the new Swiss Federal Act on Data Protection (“nFADP”), which is expected to come into force in 2022. However, unlike the GDPR, under the nFADP a breach of the new PbD obligation will have no direct consequences.
\n\n
\n\n
However, neither the GDPR nor the nFADP specify how the controller should implement PbD in practice.
\n\n
\n\n
So far, the introduction of processes and the designation of responsibilities for the systematic and timely assessment of the planned data processing, the technologies and systems used for this purpose and the data protection risks for the data subjects have proven effective. This risk assessment aims to identify the technical and organisational measures required to effectively integrate data protection principles and requirements into the design of the respective products, systems or processes and to protect the privacy of the data subjects. Risks to data subjects include, for example, excessive collection and disclosure of personal data, processing of data for purposes other than the original purpose, unlawful processing, as well as loss, destruction or alteration of data.
\n\n
\n\n
Such a risk assessment, coupled with a compliance assessment, is required for any processing of personal data, including, for example, the implementation of a Customer Relation Management (“CRM”) or HR data management system or the outsourcing of data processing, regardless of the technology used or the sensitivity of the data. While similar, this risk and compliance assessment is not a data protection impact assessment (“DPIA”) as required under Art. 35 GDPR.
\n\n
\n\n
A controller must conduct a DPIA only if the processing is likely to present a high risk to data subjects’ rights and freedoms. A DPIA is a broader assessment that goes beyond a compliance assessment by evaluating the residual risks to data subjects, taking into account the TOMs embedded in the design of the product, system or process. If the residual risk is still considered high, the controller must take further measures to mitigate the risk. If this is not possible, the controller must consult the data protection authority or refrain from processing. A DPIA will be regularly required for digital health solutions where health-related data or other special categories of data are processed. A DPIA will also be regularly required for the use of innovative or combined technologies and extensive profiling.
\n\n
\n\n
3 Implementing PbD In Practice
\n\n
\n\n
3.1 Technical and organisational measures
\n\n
\n\n
The controller must implement TOMs both at the time of determining the means of processing and during the processing itself. The TOMs must be adequate and appropriate to:
\n\n
\n\n
\n
effectively implement data protection principles, such as data minimisation, lawfulness, transparency, confidentiality, purpose limitation, data integrity, storage duration, security, as well as the requirements concerning commissioned data processing and cross-border data transfers;
\n
integrate the necessary safeguards into the processing to meet the requirements of the GDPR; and
\n
protect the rights of data subjects.
\n
\n\n
\n\n
A measure is adequate if it considers state of the art, the cost of implementation, the nature, scope, context and purposes of the processing, and the risks of varying likelihood and severity to natural persons’ rights and freedoms.
\n\n
\n\n
Technical measures may include, for example:
\n\n
\n
robust encryption methods for systems and data;
\n
pseudonymisation or aggregation of the data;
\n
access authorisations and restrictions;
\n
user authentication;
\n
firewalls; and
\n
automated deletion concepts.
\n
\n\n
\n\n
Organisational measures may include, for example:
\n\n
\n
the assignment of responsibilities for the effective implementation of data protection requirements;
\n
the implementation of enforceable policies and procedures for handling and documenting data privacy violations and requests for information from data subjects, risk management, third-party vendor management, data transfer management, and the documentation of processing activities;
\n
the implementation of training and controls; and
\n
the establishment of processes to ensure data protection rights, such as revoking consent or requesting erasure of the data.
\n
\n\n
\n\n
3.2 Data Protection Management System
\n\n
\n\n
One effective way to implement PbD in practice is to build a data management and risk assessment programme with responsibilities and a process to systematically identify, evaluate, address and mitigate potential privacy and security risks associated with the collection and processing of personal data. A Data Protection Management System should include the following elements:
\n\n
\n\n
\n
a documented commitment by the company’s management to establish and enforce high standards of data protection for the company, to integrate data protection into the corporate culture and embed the data protection principles in the design and implementation of corporate policies, data protection management systems, business practices, services and products;
\n
\n\n
\n
the appointment of a data protection officer or advisor and the allocation of responsibilities at all levels of the organisation, including business units and functions, for the effective implementation of data protection requirements;
\n
the establishment of a data protection framework with enforceable data protection policies and guidelines that attach appropriate importance to data protection and regulate the collection, processing, transfer, storage and deletion of data, as well as mechanisms to monitor implementation and compliance with standards and rules;
\n
the application of appropriate processes to ensure that data protection principles and requirements are adequately taken into account and integrated into data processing procedures and that the PbD principle is thus lived;
\n
\n\n
\n
the introduction of records of processing activities (“RoPA”);
\n
risk management with risk assessments, compliance checks and, where appropriate, data protection impact assessments;
\n
third-party management and data transfer governance;
\n
regular and documented awareness campaigns and conducting employee trainings; and
\n
regular and documented monitoring and controls through self-assessments and audits to verify the effective implementation of the data protection management programme and compliance with legal requirements and internal policies and directives.
\n
\n\n
\n\n
3.3 Data protection considerations and design strategies
\n\n
\n\n
Applicable laws
\n\n
The controller must clarify the applicable laws and regulations. In particular, organisations outside the EU must determine whether the GDPR applies to them and their activities. The controller should also check whether industry-specific codes of conduct, certification systems, regulatory decisions or guidelines apply to the planned data processing and take into account ethical considerations.
\n\n
\n\n
Involved parties
\n\n
It is then necessary to identify which parties are involved in the data processing or the development and use of the system, service or product, and their role (e.g., controller or processor). Several parties may be jointly responsible for the data processing. Identifying the data controller, i.e., the party that alone or jointly with others decides the means and purposes of data processing, is essential to determine who is responsible and accountable for compliance with data protection requirements under the GDPR.
\n\n
\n\n
Legal justification
\n\n
For all personal data processing, controllers must rely on one of the legal bases set out in Art. 6 and 9 of the GDPR, most used are: the legitimate interest; performance of a contract; legal obligation; or consent.
\n\n
\n\n
In health or medical apps collecting and processing special categories of patient or consumer data, the processing of this data will regularly require the data subjects explicit consent. In this case, consent must be voluntary and specific to each functionality that serves a distinct purpose. Consent must further be based on prior information. In the case of special categories of data, the use of cookies or location data, the data subject must provide explicit consent through positive action, such as downloading the app and ticking a consent box. Also, controllers must have a procedure in place that allows for easy withdrawal of consent and, on the other hand, ensures that in the event of withdrawal, the data collected will not be further processed.
\n\n
\n\n
Proportionality and data minimisation
\n\n
Personal data must be adequate, relevant, and limited to what is necessary for the purposes for which it is processed. This means that systems, apps and devices that store or process personal data should be set up so that only the data necessary for the individual purpose or the proper functioning of the system, app or device is stored and processed.
\n\n
\n\n
The principle of data minimisation can be achieved in different ways, for example, by reducing the amount of personal data collected and processed or by making it more difficult or impossible to assign the data to an individual.
\n\n
\n\n
Depending on the functionalities of the system, app or product and the purpose of the processing, the controller must therefore assess for each data set to be collected whether this data is indeed necessary to fulfil the purpose or whether the purpose can be fulfilled with less data (reduction of data volume) or pseudonymised/anonymised data (making identification difficult or impossible). A further distinction must be made between mandatory data and voluntary data that can be additionally provided for the use of certain functionalities.
\n\n
\n\n
Another measure that the controller can take to achieve the data minimisation requirement is to prevent the linking of personal data stored in different systems for different purposes.
\n\n
\n\n
Transparency and fair processing
\n\n
Personal data must be processed transparently and fairly. Data subjects should have full transparency and control over the processing of their data and understand what data is being processed, why, by whom, where and for how long, and how they can exercise their data protection rights. The processing of personal data should neither violate applicable laws, nor be unexpected to the data subject.
\n\n
\n\n
The privacy notice should be easily accessible to data subjects at any time, before the collection of personal data and throughout the processing. Users of apps, for example, should be notified before the download of the app. The notice should be easy to understand and, where appropriate, translated in different languages.
\n\n
\n\n
Confidentiality and access to personal data
\n\n
Personal data must be kept strictly confidential and may only be provided or disclosed to individuals on a need-to-know basis to fulfil the legitimate purposes for which the data was collected.
\n\n
\n\n
Special attention is required for centralised data management systems. In this case, the controller should establish data access and restriction policies and limit the access through technical means.
\n\n
\n\n
Purpose limitation
\n\n
Personal data shall only be collected for specified, explicit and legitimate purposes and shall not be further processed in a way incompatible with those purposes.
\n\n
\n\n
The controller should determine the processing purposes and communicate them to the data subjects. The functionalities of the system, app or product should be set up to ensure that personal data is only processed for these purposes. The controller must also determine who should have access to which data for which purposes and implement these regulations through technical measures as well as instructions, training and controls.
\n\n
\n\n
If the personal data is to be processed later for purposes other than those communicated, it should be anonymised, unless there is another legal basis for this secondary use. In any case, data subjects should be informed in advance about the use of their data for any secondary purpose and, unless there is another legal basis, their consent should be obtained.
\n\n
\n\n
Data quality
\n\n
The personal data stored must be accurate and, where necessary, kept up to date, and all reasonable steps must be taken to ensure that inaccurate personal data is erased or rectified without delay.
\n\n
\n\n
The controller must have mechanisms in place to ensure that data is accurate at the time of collection and is not unlawfully altered thereafter. There must be a mechanism to correct or delete inaccurate data.
\n\n
\n\n
Data retention
\n\n
Personal data must be kept in a form that permits the identification of data subjects for no longer than is necessary for the purposes for which the personal data is processed, unless regulatory or legal requirements necessitate a longer or shorter retention period.
\n\n
\n\n
The controller should establish a data retention and deletion policy and determine a retention period for each data set based on the purpose of the processing and, where applicable, legal and regulatory retention periods.
\n\n
\n\n
The controller must also define mechanisms, including automated solutions where appropriate, and responsibilities for the effective deletion of data. If the data cannot be deleted, it must be anonymised or, if this is not possible, pseudonymised.
\n\n
\n\n
Data security
\n\n
Personal data must be processed in a manner that ensures appropriate security of the data, including protection against unauthorised or unlawful processing and accidental loss, destruction or damage, using appropriate TOMs. These measures should include data integrity and confidentiality, availability, resilience and traceability, and ensure a level of security appropriate to the risk to the rights of data subjects.
\n\n
\n\n
Appropriate control access mechanisms and authentication measures should be embedded in the system infrastructure to detect and monitor unauthorised access to data. Personal data should be protected by strong and robust state-of-the-art encryption, both in transit and in storage. Special attention is required when data is stored in the cloud.
\n\n
\n\n
Privacy rights
\n\n
Data subjects have various data protection rights, including the right to information, access, rectification and erasure, restriction of processing, data portability and the right to object to automated individual decision-making. They also have the right to complain to the competent supervisory authority if they feel their rights are being violated or their data is not adequately protected. The controller must define processes to ensure that data can be corrected, deleted or transferred at the data subjects’ legitimate request. For apps in particular, the controller should consider whether users should be able to exercise their rights directly through the app, if necessary, by accessing the data and correcting or deleting it if inaccurate.
\n\n
\n\n
Data processing by third parties and cross-border data transfers
\n\n
Depending on the roles of the contributors in the development, management and use of the system, app or product and the data processed, the controller must establish appropriate contractual obligations to ensure data protection.
\n\n
\n\n
Before sharing any personal data with a processor, the controller must verify that the processor implements appropriate TOMs to ensure compliance with the data protection requirements and data subjects’ privacy rights.
\n\n
\n\n
If personal data is to be transferred to third parties outside the European Economic Area (“EEA”) to a country without a formal adequacy decision by the European Commission, appropriate safeguards, such as EU standard contractual clauses (“SCCs”), must be implemented to legitimise cross-border data transfers, unless an exemption pursuant to Art. 49 GDPR applies, such as the explicit consent of the data subject.
\n\n
\n\n
Before transferring the data, the controller, respectively the data exporter, must check whether the destination country ensures an adequate protection level equivalent to that in the EU. If this is not the case, the data exporter should consider storing and processing the data in the EU or an adequate country. If this is not an option, additional contractual, technical and organisational measures must be taken, such as pseudonymisation or encryption of the data while keeping the encryption key in the EU and separate from the service provider.
\n\n
\n\n
4 Conclusion
\n\n
\n\n
Consistent and sustainable compliance with data protection requires the strategic and conceptual integration of data protection principles in all business practices, the organisational structure, the development of rules, IT systems and products.
\n\n
\n\n
To fully exploit the benefits of new technologies and ensure their effectiveness, it is essential to embed fundamental data protection principles into the design of these solutions, taking into account organisational, process and system-related risks, as well as risks to the rights of data subjects.
\n\n
\n\n
PbD is not only required by the GDPR and partly by laws of other countries outside the EEA. It is a prerequisite for the effective and sustainable implementation of data protection, the basis for the smooth functioning of data protection management, and a critical factor in achieving the necessary trust of employees, customers, patients and consumers, public authorities, business partners and other stakeholders in the use of new technologies and the processing of their personal data.
\n\n
\n","datum":"06.07.2021","teasertext":"
Privacy by Design oder Datenschutz durch Technikgestaltung ist eine Grundvoraussetzung für die gesetzeskonforme Verarbeitung personenbezogener Daten und als solche ein allgemein bekanntes Konzept. Dennoch wird Privacy by Design oftmals nicht konsequent umgesetzt, was für die betroffenen Unternehmen zu weitreichenden Konsequenzen und Kosten führen kann. Dieser Artikel erläutert das Konzept von Privacy by Design und seine praktische Umsetzung in Anwendung der EU-Datenschutz-Grundverordnung. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":130,"title":"Das revidierte Datenschutzgesetz - Handlungsbedarf für Unternehmen?","slug":"das-revidierte-datenschutzgesetz-handlungsbedarf-fuer-unternehmen","link":"/de/news/das-revidierte-datenschutzgesetz-handlungsbedarf-fuer-unternehmen","titel":"Das revidierte Datenschutzgesetz - Handlungsbedarf für Unternehmen?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Das Schweizer Parlament hat im September 2020 das revidierte Datenschutzgesetz verabschiedet, welches voraussichtlich 2022 in Kraft treten wird. Daniela Fábián Masoch, Rechtsanwältin und Datenschutzexpertin, erklärt, welche Pflichten auf Unternehmen zukommen und wie sich diese vorbereiten können.
\n\n
\n\n
Datenschutz hat in den vergangenen Jahren stark an Bedeutung gewonnen. Konsumenten, Kunden, Patienten und Arbeitnehmer, aber auch Führungskräfte und Behörden sind zunehmend sensibilisiert und haben hohe Erwartungen an den Schutz von Personendaten. Infolgedessen wurden die Datenschutzgesetze weltweit entsprechend verschärft.
\n\n
\n\n
Unter dem revidierten Schweizer Datenschutzgesetz (nDSG) bleibt die Bearbeitung von Personendaten grundsätzlich erlaubt. Unternehmen müssen aber in Zukunft eine ganze Reihe neuer oder erweiterter Vorschriften befolgen.
\n\n
\n\n
Welche neuen Pflichten kommen auf Unternehmen zu?
\n\n
\n\n
Erweiterte Informationspflicht: Künftig müssen Unternehmen betroffene Personen bei der Beschaffung von Personendaten informieren (bisher nur besonders schützenswerte Daten und Persönlichkeitsprofile), wobei das Gesetz Mindestangaben vorschreibt. Konkret bedeutet dies, dass Unternehmen ihre Datenschutzerklärungen überprüfen und ggf. anpassen oder komplett neu erstellen und den betroffenen Personen mitteilen müssen.
\n\n
\n\n
Privacy by Design (PbD): Unternehmen sind künftig verpflichtet, geplante Datenbearbeitungen so auszugestalten, dass die datenschutzrechtlichen Vorschriften und die Grundsätze der Datenbearbeitung eingehalten werden. PbD ist jedoch nicht bloss als neue Verpflichtung zu verstehen, sondern vielmehr als Grundvoraussetzung für einen verantwortungsvollen und effektiven Datenschutz. Eine wirksame Umsetzung der Datenschutzgrundsätze setzt voraus, dass Unternehmen proaktiv handeln und potenzielle Risiken für die Privatsphäre von betroffenen Personen antizipieren.
\n\n
\n\n
Datenschutz-Folgenabschätzung: Unternehmen müssen künftig für Datenbearbeitungen, die ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen können, eine Datenschutz-Folgenabschätzung durchführen. Sie müssen die Risiken für die betroffene Person vorgängig bewerten und geeignete Massnahmen zum Schutz ihrer Persönlichkeit und Grundrechte ergreifen. Dies kann beispielsweise bei einer umfangreichen Bearbeitung von besonders schützenswerten Daten der Fall sein, aber auch bei der Verwendung neuer Technologien.
\n\n
\n\n
Verzeichnis der Bearbeitungstätigkeiten: Unternehmen sind neu grundsätzlich verpflichtet, ein Verzeichnis ihrer Bearbeitungstätigkeiten zu führen. Ein solches Verzeichnis kann, wenn es sorgfältig geführt und mit zusätzlichen Informationen ergänzt wird, durchaus einen Vorteil haben, nämlich als Grundlage für Konformitätsprüfungen und Datenschutz-Folgenabschätzungen dienen.
\n\n
\n\n
Meldung von Verletzungen der Datensicherheit: Wie bereits unter der EU-Datenschutz-Grundverordnung (DSGVO) müssen Unternehmen in Zukunft Verstösse der Datensicherheit (wie z. B. unberechtigte Datenzugriffe) je nach Risiko dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden und die betroffenen Personen informieren.
\n\n
\n\n
Welche Sanktionen drohen Unternehmen, wenn sie die gesetzlichen Anforderungen nicht einhalten?
\n\n
\n\n
Im Unterschied zur DSGVO wird grundsätzlich nicht das Unternehmen, sondern die verantwortliche natürliche Person mit Bussgeldern von bis zu CHF 250'000 belegt. Strafbar macht sich insbesondere, wer gegen die Informations- oder Auskunftspflicht verstösst oder die Sorgfaltspflichten verletzt, namentlich die Mindestanforderungen an die Datensicherheit nicht einhält, Personendaten ins Ausland bekanntgibt oder die Datenbearbeitung einem Auftragsbearbeiter überträgt, ohne die gesetzlichen Anforderungen zu erfüllen. Bussen setzen allerdings eine vorsätzliche Handlung voraus und werden in den meisten Fällen nur auf Antrag verhängt.
\n\n
\n\n
Handlungsbedarf für Unternehmen?
\n\n
\n\n
Da das nDSG keine Übergangsfristen vorsieht, sollten Unternehmen frühzeitig prüfen, inwieweit ihre internen Regelungen und Prozesse betreffend Datenmanagement mit den neuen Anforderungen übereinstimmen.
\n\n
\n\n
Insbesondere müssen Konzepte wie Privacy by Design umgesetzt und Prozesse eingeführt werden, die eine gesetzeskonforme Löschung oder Vernichtung der Daten und die Datenportabilität unterstützen sowie die Durchführung von Datenschutz-Folgenabschätzungen und die rechtzeitige Meldung von Datensicherheitsverstössen sicherstellen. Datenschutzerklärungen müssen überprüft und gegebenenfalls an die Anforderungen des nDSG angepasst werden. Verzeichnisse, die derzeit Datensammlungen dokumentieren, müssen neu strukturiert werden, um zukünftig Bearbeitungsaktivitäten zu erfassen.
\n\n
\n","datum":"26.02.2021","teasertext":"
Das Schweizer Parlament hat im September 2020 das revidierte Datenschutzgesetz verabschiedet, welches voraussichtlich 2022 in Kraft treten wird. In einem im Magazin Bilanz erschienenen Artikel erklärt Daniela Fábián Masoch, welche Pflichten auf Unternehmen zukommen und wie sich diese vorbereiten können.
\n","preview":"","datei":[],"linkextern":""},{"id":131,"title":"Transfer von Personendaten aus der EU im Jahr 2021: erhöhte Aufmerksamkeit gefordert (auf Englisch)","slug":"transfer-von-personendaten-aus-der-eu-im-jahr-2021-erhoehte-aufmerksamkeit-gefordert","link":"/de/news/transfer-von-personendaten-aus-der-eu-im-jahr-2021-erhoehte-aufmerksamkeit-gefordert","titel":"Transfer von Personendaten aus der EU im Jahr 2021: erhöhte Aufmerksamkeit gefordert (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
EU Personal Data Transfers 2021: Planning for a Year of Increased Scrutiny
\n\n
\n\n
By Dan Goldstein, Co-Founder, Tueoris, LLC and Daniela Fábián Masoch, Founder FABIAN PRIVACY LEGAL
\n\n
\n\n
As 2021 begins, ex-EU transfers of personal data continue to pose a challenge for data privacy professionals. While new Standard Contractual Clauses (“SCCs”) appear promising, the lingering impact of the Schrems II decision along with the European Data Protection Board’s Draft Recommendations on Measures that Supplement Transfer Tools1 (the “EDPB Recommendations”) are likely to leave exporters and importers of European resident personal data spending valuable time focused on data transfer risk mitigation strategies.
\n\n
\n\n
Across Europe, Data Protection Authorities maintain a consistent view that countries with laws or practices that allow government “generalized” access to the content of electronic communications do not provide privacy safeguards essentially equal to those in EU member states. Such laws or practices are viewed as impinging on the effectiveness of safeguards contained in the EU General Data Protection Regulation (“GDPR”). Parties relying on SCCs or Binding Corporate Rules (“BCRs”) for transfers to such countries must identify and implement, on a case-by-case basis, supplementary measures that elevate protections to a level equal to EU law.
\n\n
\n\n
Prior to determining whether such measures will be adequate, parties to a transfer should – in line with the EDPB Recommendations – undertake to ascertain a complete view of the data transfers taking place within the lifecycle of defined processing activities. Upon gaining a holistic view of these data flows, the parties should then conduct Transfer Impact Assessments (“TIAs”) to determine risks the transfers to data importers and sub-processors pose to the data subjects, as well as compliance risks faced by the parties to the transfers. Where those TIAs uncover risks of government access to personal data, supplementary controls will be necessary. However, controls considered adequate by EU authorities may be limited.
\n\n
\n\n
Know Your Data Flows
\n\n
\n\n
The logical starting point for compliant ex-EU personal data transfers is to fully understand where EU personal data is flowing within and outside of your organization. The EDPB acknowledges in its Recommendations that “recording and mapping all transfers can be a complex exercise”, but also stresses that awareness of personal data flows is “necessary to ensure that it is afforded an essentially equivalent level of protection wherever it is processed”.
\n\n
\n\n
Since the GDPR came into effect in 2018, most organizations processing EU resident personal data have spent time and effort to understand the flow of such data, typically by recording the characteristics of processing activities in accordance with GDPR Article 30. However, Article 30 records often fall short in capturing a holistic view of personal data flows across an organization’s third-party ecosystem and the countries in which those parties are located.
\n\n
\n\n
Conducting a thorough and detailed exercise to create visual depictions of data flows (i.e., data mapping) enables the identification of transfers not only to ex-EU importers, but also subsequent third-party transfers throughout the personal data lifecycle .
\n\n
\n\n
To design and implement reasonable security controls, the organization must first understand the nature of the data that must be secured. A successful data mapping initiative will not only map the flow of personal data, but also identify and depict the specific personal data elements involved in the process, facilitating the development of tailored safeguards necessary for each transfer throughout the data lifecycle. These detailed data maps become a highly valuable tool, not only to determine security controls commensurate to the risks to the data subjects, but also to demonstrate appropriate diligence to regulatory authorities should transfers come under scrutiny.
\n\n
\n\n
Transfer Impact Assessments
\n\n
\n\n
Overview
\n\n
\n\n
In line with the EDPB Recommendations, it has become imperative to conduct a TIA prior to transferring EU resident personal data to parties in non-adequate countries2. TIAs must be conducted for prospective transfers of EU data to recipients in non-adequate countries, as well as current, ongoing transfers (and should assess any onward transfers). As such, in addition to conducting TIAs for transfers identified in the data mapping exercise, a TIA should be triggered prior entering into contracts with service providers that will require ex-EU transfers of EU personal data.
\n\n
\n\n
A thorough TIA will consider numerous risk factors, however whether the laws or practices of the country where the importer is located impinge on the effectiveness of the safeguards of the transfer tool being used (e.g., SCCs) is of primary importance to EU authorities. For transfers of EU personal data to the US, the prevailing EU view is that Section 702 of the U.S. Foreign Intelligence Surveillance Act does not adequately safeguard privacy rights under EU law. Thus, transfers being made to US recipient using transfer mechanisms such as SCCs or BCRs must be supplemented with additional measures to limit government access. Notably, even considering what may be viewed as a rather black or white view of Section 702, the EDPB Recommendations do recognize that an organization’s TIAs should consider the context of the specific transfer – an important point, as different activities will carry widely different risks of government access.
\n\n
\n\n
Conducting the TIA
\n\n
\n\n
TIAs must be conducted diligently and be thoroughly documented, as Data Protection Authorities will expect a TIA to be available if a transfer comes under their scrutiny. Developing and implementing a standard and repeatable TIA methodology supports outcomes that meet EU authorities’ expectations.
\n\n
\n\n
A TIA which includes a series of questions with “scored” answers allows the organization to consistently quantify results and create requirements for completed TIAs that fall within various score ranges. For example, a score within a defined low-risk range might allow a transfer to go ahead without further action. A score within a defined medium-risk range might require implementation of supplementary measures to bring the level of protection to an EU level, and review and approval by the Chief Privacy Officer. A score within a defined high-risk range might require review by the Chief Privacy Officer and may lead to a decision to suspend or stop the transfer.
\n\n
\n\n
The EDPB emphasizes that the TIA should primarily focus on the laws of the country to which the transfer will be made, and, specifically, on factors indicating whether government authorities in that country will seek access to the data. In addition to these objective factors, it is useful – in order to obtain an overall risk score indicating appropriate technical, contractual and organizational measures – to consider other aspects of the data and transfer as well (“context”). This context helps to establish relative likelihood of government requests for EU personal data for transfers made for widely disparate purposes. For example, a transfer initiated by a data subject to manage their customer preferences will pose different risks of government access than a transfer of a large volume of personal data of EU resident social media users to a US importer.
\n\n
\n\n
In establishing the TIA risk criteria, consideration should be given to additional factors such as:
\n\n
\n\n
\n
Purpose of the transfer;
\n
Exporting party (category);
\n
Data subject type;
\n
Types of data transferred;
\n
Volume of data transferred;
\n
Manner in which access is provided to the importer (e.g., limited push or unlimited pull);
\n
Frequency of transfers;
\n
Onward transfers (including category of sub-processor and purpose); and
\n
Security controls in transit;
\n
Importer security controls;
\n
History of government access requests to the importer; and
\n
History of government access requests to similarly situated importers.
\n
\n\n
\n\n
While the EDPB does not place much value in evaluation of historical government requests to the importing organization or other similarly situated organizations, these factors should be considered so that the parties conducting the TIA can gain an internal understanding of the actual risks of government requests and develop an appropriate response strategy.
\n\n
\n\n
Remediating Identified Risks
\n\n
\n\n
Upon completing the TIA and ascertaining the risk score, along with defined requirements aligned to the scores, it may be necessary to take steps to remediate risks and, as the EDPB Recommendations state, “bring the level of protection of the data transferred up to the EU standard of essential equivalence”.
\n\n
\n\n
Technical Controls
\n\n
\n\n
Significant attention has been focused on encryption of personal data in transit to, and at rest in, the recipient in the ex-EU country. The EDPB Recommendations specify that in those circumstances where encryption may be appropriate, it will only be considered an effective control if the encryption keys are maintained by the EU-based exporter, other entities in the EEA, or an ex-EU country with an adequacy designation. In other words, if a US-based importer holds the encryption key, the control will likely not be considered effective by EU authorities.
\n\n
\n\n
The Recommendations call out the common scenario3 in which a data importer – in a country in which the government may access the personal data (e.g., the US) – uses EU personal data to provide services to the EU controller (e.g., payroll or other HR-focused services). The EDPB takes the position that if the importer in such a scenario is able to use the data in the clear, even encryption in transit and at rest will not provide an adequate level of protection of the rights of the data subjects, as the government could compel production of the data.
\n\n
\n\n
The logical outcome of strict adherence to this position appears to be a new level of EU data localization. In such instances, exporters and importers may need to evaluate alternatives (e.g., storage and processing of data in the EEA or in an adequate country). If data localization is not an option, the parties may consider a risk-based decision to move forward with the transfer, implementing supplemental organizational and contractual controls4 in order to continue business operations in a manner beneficial to shareholders, employees and other interested parties. Where the risks are deemed to be too high, the parties may need to either suspend or stop further transfers.
\n\n
\n\n
Where appropriate, depending on the context of the transfer, pseudonymization may also present an adequate control. However, in accordance with the EDPB Recommendations, any additional information that would allow the identification of individuals whose personal data is transferred, must be held by the exporter either in the EU or other adequate country (this is a common scenario, for example, in the conduct of clinical trials). In addition, the parties should establish in the TIA that the individuals cannot be identified by public authorities by cross-referencing the pseudonymized personal data with additional information that the authorities may possess.
\n\n
\n\n
Contractual Limitations
\n\n
\n\n
Based on the context of the transfers taking place, contractual provisions may comprise additional controls supporting the compliant transfer of EU personal data. Contractual provisions may include:
\n\n
\n\n
\n
Limitations on the data being transferred, for example, only specified data subjects or data elements;
\n
Requirements for technical measures which must be implemented for the transfers to take place;
\n
A commitment to inform the EU data controller of government requests for personal data and – where commercially feasible and permitted by applicable law – to inform data subjects of such requests; and/or
\n
A binding commitment by the importer to challenge government requests, including efforts to delay response to requests pending resolution of the challenge.
\n
\n\n
\n\n
Contractual limitations should be drafted considering other contractual obligations that may already be in place, for example in SCCs or in an organization’s BCRs.
\n\n
\n\n
Administrative Controls
\n\n
\n\n
Administrative controls represent a further means for organizations importing personal data of EU residents to a non-adequate country to safeguard such personal data – where appropriate – from government access. Controls may include updating internal privacy policies and procedures to include detailed actions in the event of government requests. Such provisions may detail, for example, the process for the intake and response to requests, including review by appropriate internal stakeholders in the EU and in the country from which the government request is made. They may also document the organization’s commitments to inform data subjects of such requests and, where appropriate, to challenge government requests.
\n\n
\n\n
In addition, personnel who may be tasked with the intake, review and disposition of requests should receive training on internal procedures for managing government requests for access to personal data.
\n\n
\n\n
Final Thoughts
\n\n
\n\n
As we enter a new year, the state of ex-EU data transfers remains a moving target. While anticipated new SCCs are promising – particularly the processor-to-processor and processor-to-controller SCCs – they do not mitigate the risk of access to EU personal data by governments in non-EU countries. The EDPB Recommendations provide highly valuable guidance, but ultimately include some conclusions that point to EU data localization. In order to minimize risks associated with data transfers, organizations should (in line with EDPB Recommendations) undertake detailed data mapping exercises for processing activities which include transfers of EU resident personal data and conduct detailed TIAs to identify risks related to the transfers. A consistent approach to mapping and TIAs will not only provide information necessary to implement appropriate data protection controls, but will also demonstrate to EU regulatory authorities that your organization takes compliance with transfer rules seriously, and has taken appropriate measures to safeguard the privacy rights of EU residents.
[2] The EDPB Recommendations state that, “you must assess. . . if there is anything in the law or practice of the third country that may impinge on the effectiveness of the appropriate safeguards of the Article 46 GDPR transfer tool you are relying on, in the context of your specific transfer.”
[4] Such supplemental controls may include, for example, a documented commitment to challenge compelled government disclosure of personal data.
\n","datum":"26.01.2021","teasertext":"
Auch im Jahr 2021 stellen grenzüberschreitende Datentransfers aus der EU Datenschutz-Experten vor grosse Herausforderungen. Der nachfolgende Artikel erklärt, was Unternehmen tun können, um die mit grenzüberschreitenden Datenübermittlungen verbundenen Risiken zu minimieren. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":132,"title":"Die Europäische Kommission veröffentlicht Entwurf der revidierten Standardvertragsklauseln (auf Englisch)","slug":"die-europaeische-kommission-veroeffentlicht-entwurf-der-revidierten-standardvertragsklauseln","link":"/de/news/die-europaeische-kommission-veroeffentlicht-entwurf-der-revidierten-standardvertragsklauseln","titel":"Die Europäische Kommission veröffentlicht Entwurf der revidierten Standardvertragsklauseln (auf Englisch)","text":"
Am 12. November 2020 hat die Europäische Kommission einen Entwurf der revidierten Standardvertragsklauseln veröffentlicht. Die öffentliche Konsultation dauert bis zum 10. Dezember 2020. Die Entscheidung der Kommission sowie der Anhang mit den vorgeschlagenen Vertragsklauseln sind nur in englischer Sprache verfügbar. Um das Dokument herunterzuladen, klicken Sie bitte hier.
\n","datum":"12.11.2020","teasertext":"
Am 12. November 2020 hat die Europäische Kommission einen Entwurf der revidierten Standardvertragsklauseln veröffentlicht. Die öffentliche Konsultation dauert bis zum 10. Dezember 2020. Die Entscheidung der Kommission sowie der Anhang mit den vorgeschlagenen Vertragsklauseln sind nur in englischer Sprache verfügbar. Um das Dokument herunterzuladen, klicken Sie bitte hier.
\n","preview":"","datei":[],"linkextern":""},{"id":133,"title":"Der Europäische Datenschutzausschuss gibt Empfehlungen zu grenzüberschreitenden Datentransfers heraus","slug":"der-europaeische-datenschutzausschuss-gibt-empfehlungen-zu-grenzueberschreitenden-datentransfers-heraus","link":"/de/news/der-europaeische-datenschutzausschuss-gibt-empfehlungen-zu-grenzueberschreitenden-datentransfers-heraus","titel":"Der Europäische Datenschutzausschuss gibt Empfehlungen zu grenzüberschreitenden Datentransfers heraus","text":"
Am 11. November 2020 hat der Europäische Datenschutzausschuss zwei Empfehlungen zu grenzüberschreitenden Datentransfers herausgegeben. Die öffentliche Konsultation dauert bis zum 30. November 2020.
\n\n
\n\n
\n
Empfehlungen 01/2020 zu Massnahmen, welche die Instrumente für internationale Datentransfers ergänzen, um die Einhaltung des EU-Schutzniveaus für personenbezogene Daten zu gewährleisten (diese Empfehlungen beinhalten ein mehrstufiges Vorgehen für Datenexporteure, mögliche Ressourcen sowie Beispiele für zusätzliche Massnahmen, die getroffen werden können) und
\n
\n\n
\n\n
\n
Empfehlungen 02/2020 zu wesentlichen Garantien für Überwachungsmassnahmen (diese Empfehlungen listen Punkte auf, anhand derer festgestellt werden kann, ob Überwachungsmassnahmen, die Behörden in Drittländern Zugriff auf personenbezogene Daten gewähren, als gerechtfertigter Eingriff betrachtet werden können oder nicht).
\n
\n\n
\n\n
Die Empfehlungen sind nur in englischer Sprache verfügbar. Um die Dokumente herunterzuladen, klicken Sie bitte auf die folgenden Links:
Am 11. November 2020 hat der Europäische Datenschutzausschuss zwei Empfehlungen zu grenzüberschreitenden Datentransfers herausgegeben. Die öffentliche Konsultation dauert bis zum 30. November 2020.
\n","preview":"","datei":[],"linkextern":""},{"id":153,"title":"Privacy by Design als Chance für Unternehmen","slug":"privacy-by-design-als-chance-fuer-unternehmen","link":"/de/news/privacy-by-design-als-chance-fuer-unternehmen","titel":"Privacy by Design als Chance für Unternehmen","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Das Schweizer Parlament hat kürzlich das revidierte Datenschutzgesetz verabschiedet. Neu gilt der Grundsatz des sogenannten «Privacy by Design». Die korrekte Umsetzung dieses Prinzips ist die Grundvoraussetzung für einen verantwortungsvollen und effektiven Datenschutz und trägt entscheidend zum Erfolg eines Unternehmens bei. Daniela Fábián, Rechtsanwältin und Datenschutzexpertin, erläutert den Grundsatz und seine praktische Umsetzung.
\n\n
\n\n
Datenschutz hat in den vergangenen Jahren stark an Bedeutung gewonnen. Konsumenten, Kunden, Patienten und Arbeitnehmer sowie Unternehmensführer und Behörden sind zunehmend sensibilisiert und haben höhere Erwartungen an den Schutz von Personendaten. Infolgedessen wurden Datenschutzgesetze weltweit entsprechend verschärft.
\n\n
\n\n
Während viele Unternehmen bis vor Kurzem kaum Ressourcen für den Datenschutz bereitgestellt haben, ist den meisten Unternehmen inzwischen bewusst, dass Datenschutz ein ernst zu nehmendes Thema ist. Grund hierfür sind nicht nur drohende Sanktionen und Reputationsverlust im Falle einer Verletzung der Datenschutzvorschriften, sondern dass Unternehmen verstanden haben, dass sie die Vorteile neuer Technologien wie Blockchain, Machine Learning, Künstliche Intelligenz, Internet of Things oder autonomes Fahren nur dann voll ausschöpfen können, wenn sie gleichzeitig die Erwartungen der betroffenen Personen erfüllen, ihr Vertrauen gewinnen sowie deren Privatsphäre respektieren.
\n\n
\n\n
Verantwortungsvoller und effektiver Datenschutz setzt voraus, dass Unternehmen die grundlegenden Datenschutzgrundsätze wie Datenminimierung und Transparenz sowie technische Sicherheitsmassnahmen wie Pseudonymisierung oder Verschlüsselung bereits bei der Konzeption von digitalen Lösungen und generell in jegliche Datenbearbeitung integrieren. Diesen Ansatz nennt man «Privacy by Design», kurz «PbD».
\n\n
\n\n
Das Schweizer Parlament hat nun diesen Grundsatz unter dem Titel «Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen» im revidierten Datenschutzgesetz verankert.
\n\n
\n\n
Was bedeutet Privacy by Design für Unternehmen?
\n\n
\n\n
PbD ist nicht bloss eine neue Verpflichtung für Verantwortliche. PbD ist vielmehr Grundvoraussetzung für verantwortungsvollen Datenschutz. Um Datenschutzgrundsätze wirksam umzusetzen, müssen Unternehmen proaktiv handeln und potenzielle Risiken für die Privatsphäre von betroffenen Personen antizipieren.
\n\n
\n\n
Unternehmen, die z. B. ein neues Datenmanagementsystem einführen, eine App entwickeln, sensible Daten in einer Cloud speichern, Überwachungssysteme im Unternehmen einführen oder die Bearbeitung von Personendaten an Dritte ins Ausland verlagern wollen, müssen sich schon früh über potenzielle Auswirkungen und Risiken für die betroffenen Personen und deren Daten im Klaren sein.
\n\n
\n\n
Bei der Entwicklung einer App z. B. muss ein Unternehmen bereits in der Designphase prüfen, ob und wenn ja, welche Personendaten für die Nutzung erforderlich sind und wie technisch sichergestellt wird, dass nicht mehr Daten als erforderlich erhoben werden. Wo und wie lange werden die Daten gespeichert, in der App oder auf einem zentralen Server, im In- oder Ausland? Wer soll auf die Daten Zugriff haben und warum? Sind Dienstleister involviert und wenn ja, wie wird sichergestellt, dass auch sie die Datenschutzvorschriften einhalten? Wie wird technisch sichergestellt, dass die Nutzer vor dem Download der App die Datenschutzerklärung sehen und gegebenenfalls in die Datenbearbeitung einwilligen sowie ihre Rechte geltend machen können, dass die Daten nicht für andere Zwecke bearbeitet werden und bei Bedarf gelöscht oder herausgegeben werden können? Welche technischen Massnahmen sind erforderlich, um die Daten vor Cyberrisiken zu schützen?
\n\n
\n\n
Mit diesem Ansatz kann das Unternehmen nicht nur die Einhaltung der gesetzlichen Anforderungen sicherstellen, sondern bereits im Vorfeld strategische und operative Entscheidungen treffen und Geschäftsprozesse effizient umsetzen. Dazu können z. B. die Speicherung von Daten auf Servern in der Schweiz statt in den USA oder der Kauf von Software mit integriertem Datenschutz gehören.
\n\n
\n\n
Wie können Unternehmen Privacy by Design in der Praxis umsetzen?
\n\n
\n\n
Eine wirksame Möglichkeit, PbD in der Praxis umzusetzen, ist ein Datenschutzmanagement- und Risikobewertungsprogramm mit Verantwortlichkeiten und einem Prozess zur systematischen Identifizierung, Bewertung, Behandlung und Minderung potenzieller Datenschutz- und Sicherheitsrisiken im Zusammenhang mit der Datenbearbeitung aufzubauen. Durch systematische Konformitäts- und Risikoprüfungen können Unternehmen notwendige und geeignete Massnahmen bestimmen, um die Einhaltung der Datenschutzgrundsätze sicherzustellen und Risiken für die betroffenen Personen, und damit verbunden für das Unternehmen selbst, zu reduzieren.
\n\n
\n\n
Privacy by Design ist ein entscheidender Faktor für den Aufbau und die Aufrechterhaltung von Vertrauen, Wettbewerbsfähigkeit und Erfolg auf dem Markt. Unternehmen sollten PbD also durchaus als Chance begreifen.
\n\n
\n","datum":"31.10.2020","teasertext":"
Das Schweizer Parlament hat kürzlich das revidierte Datenschutzgesetz verabschiedet. Neu gilt der Grundsatz des sogenannten «Privacy by Design». Die korrekte Umsetzung dieses Prinzips ist die Grundvoraussetzung für einen verantwortungsvollen und effektiven Datenschutz und trägt entscheidend zum Erfolg eines Unternehmens bei. In einem Artikel im Magazin Bilanz (Fokus Business Success) erläutert Daniela Fábián Masoch den Grundsatz und seine praktische Umsetzung.
\n","preview":"","datei":[],"linkextern":""},{"id":128,"title":"Das neue Schweizer Datenschutzgesetz - die wichtigsten Neuerungen für Unternehmen","slug":"das-neue-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","link":"/de/news/das-neue-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","titel":"Das neue Schweizer Datenschutzgesetz - die wichtigsten Neuerungen für Unternehmen","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet.1 Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist. Dieser Artikel fasst die wichtigsten Neuerungen für Unternehmen zusammen.2
\n\n
\n\n
At a Glance
\n\n
\n\n
\n
Die Grundkonzeption der «Erlaubnis der Datenbearbeitung mit Verbotsvorbehalt» (d.h. Verbot, wenn die Datenbearbeitung zu einer «widerrechtlichen Persönlichkeitsverletzung führt») bleibt bestehen. Eine Einwilligung für die Bearbeitung von Personendaten ist, auch bei Profiling und der Bearbeitung von besonders schützenswerten Daten, nach wie vor grundsätzlich nicht erforderlich. Auch die Grundsätze der Datenbearbeitung bleiben weitgehend unverändert.
\n
\n\n
\n\n
\n
Juristische Personen fallen aus dem Schutzbereich heraus. Nur noch natürliche Personen unterstehen dem Schutz des DSG-neu.
\n
\n\n
\n\n
\n
Der Geltungsbereich des DSG-neu erstreckt sich auf Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
\n
\n\n
\n\n
\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen, dafür die Begriffe «Profiling», «Profiling mit hohem Risiko» und «Verletzung der Datensicherheit» eingeführt. Genetische und biometrische Daten sowie Daten über die Zugehörigkeit zu einer Ethnie gehören neu zu den besonders schützenswerten Daten.
\n
\n\n
\n\n
\n
Die Konzepte «Privacy by Design» und «Privacy by Default» sind, wie auch schon in der EU-Datenschutz-Grundverordnung (DSGVO), nun im Gesetz verankert.
\n
\n\n
\n\n
\n
Für die Datensicherheit sind sowohl der Verantwortliche als auch der Auftragsbearbeiter verantwortlich. Ein risikobasierter Ansatz wird eingeführt.
\n
\n\n
\n\n
\n
Die Datenbearbeitung durch Auftragsbearbeiter bleibt im Wesentlichen gleich. Neu darf der Auftragsbearbeiter einen Unterauftragnehmer für die Bearbeitung der Daten nur nach vorgängiger Genehmigung des Verantwortlichen beiziehen.
\n
\n\n
\n\n
\n
Die Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters bleibt freiwillig. Vorteile einer Ernennung können sich im Zusammenhang mit der Datenschutz-Folgenabschätzung ergeben.
\n
\n\n
\n\n
\n
Neu müssen der Verantwortliche und der Auftragsbearbeiter ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Dieses Verzeichnis muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nicht gemeldet werden (bisher musste der Inhaber von Datensammlungen seine Sammlungen grundsätzlich beim EDÖB anmelden).
\n
\n\n
\n\n
\n
Unternehmen mit Sitz im Ausland, die Personendaten von Personen in der Schweiz bearbeiten, müssen künftig einen Vertreter in der Schweiz bezeichnen.
\n
\n\n
\n\n
\n
Die Voraussetzungen für die Bekanntgabe von Personendaten ins Ausland bleiben im Wesentlichen gleich. Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
\n
\n\n
\n\n
\n
Die Informationspflicht ist neu auf das Beschaffen jeglicher Personendaten ausgedehnt worden (bisher nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen) und umfasst auch automatisierte Einzelentscheidungen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss neu bei Datenbearbeitungen mit voraussichtlich hohem Risiko für die betroffene Person eine Datenschutz-Folgenabschätzung durchführen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss künftig Verletzungen der Datensicherheit dem EDÖB melden.
\n
\n\n
\n\n
\n
Betroffene Personen haben neu ein Recht auf Datenherausgabe oder -übertragung (Datenportabilität).
\n
\n\n
\n\n
\n
Der EDÖB erhält erweiterte Kompetenzen und kann neu eine Reihe von Verwaltungsmassnahmen verfügen.
\n
\n\n
\n\n
\n
Die Strafbestimmungen wurden mit Bussen bis zu 250 000 Franken für private Personen (also nicht Unternehmen!) erheblich verschärft, allerdings nur für Verstösse in bestimmten Bereichen, insbesondere der Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten sowie von Sorgfaltspflichten betreffend Anforderungen an die Datenbekanntgabe ins Ausland, Beiziehung eines Auftragsbearbeiters und für Nichteinhaltung der Mindestanforderungen an die Datensicherheit. Bussen bedingen eine vorsätzliche Handlung und werden in den meisten Fällen nur auf Antrag verhängt.
Das DSG-neu bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden. Nach geltendem Gesetz fallen auch juristische Personen unter den Schutzzweck. Mit der Streichung der juristischen Personen aus dem Schutzbereich gleicht sich das DSG-neu der DSGVO an, welche ebenfalls nur den Schutz natürlicher Personen bezweckt.
\n\n
\n\n
Das DSG-neu regelt nun auch den räumlichen Geltungsbereich. Nach Art. 3 gilt das Gesetz für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
Der Begriff der «Personendaten» wird eingeschränkt auf «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.» Als «betroffene Person» gelten künftig nur noch natürliche Personen, über die Personendaten bearbeitet werden.
\n\n
\n\n
Für die Bestimmbarkeit wird dabei weiterhin von einem «relativen Ansatz» ausgegangen. Gemäss Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz5 reicht, wie auch nach geltendem Recht, die rein theoretische Möglichkeit, dass jemand identifiziert werden kann, nicht aus, um anzunehmen, eine Person sei bestimmbar. Bereits in seiner Botschaft zum DSG von 19886 hielt der Bundesrat fest, dass keine Bestimmbarkeit vorliegt, wenn «der Aufwand für die Bestimmung der betroffenen Personen derart gross ist, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird». «Vielmehr muss die Gesamtheit der Mittel betrachtet werden, die vernünftigerweise eingesetzt werden können, um eine Person zu identifizieren. Ob der Einsatz dieser Mittel vernünftig ist, muss mit Blick auf die Umstände, etwa den zeitlichen und finanziellen Aufwand für die Identifizierung, beurteilt werden. Dabei sind die zum Zeitpunkt der Bearbeitung verfügbaren Technologien und deren Weiterentwicklung zu berücksichtigen. Das Gesetz gilt nicht für anonymisierte Daten, wenn eine Re-identifizierung durch Dritte unmöglich ist (die Daten wurden vollständig und endgültig anonymisiert) oder wenn dies nur mit einem hohen Aufwand möglich wäre, den kein Interessent auf sich nehmen würde. Das gilt ebenfalls für pseudonymisierte Daten».7
\n\n
\n\n
\n
Der Begriff «besonders schützenswerte Personendaten» ist um «Daten über die Zugehörigkeit zu einer Ethnie», «genetische Daten» und «biometrische Daten, die eine natürliche Person eindeutig identifizieren» erweitert worden. Während bei den biometrischen Daten klargestellt wurde, dass diese eine natürliche Person eindeutig identifizieren müssen, wurde dieser Zusatz bei den genetischen Daten im Differenzbereinigungsverfahren wieder gestrichen.
\n
\n\n
\n\n
\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen. Neu werden folgende Begriffe eingeführt: \n
\n
«Verantwortlicher»: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.
\n
«Auftragsbearbeiter»: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.
\n
«Profiling»: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
\n
«Profiling mit hohem Risiko»: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
\n
«Verletzung der Datensicherheit»: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n
\n
\n
\n\n
\n\n
3. Grundsätze für die Datenbearbeitung
\n\n
\n\n
Die Grundsätze der Datenbearbeitung bleiben materiell weitgehend unverändert.
\n\n
\n\n
\n
Neu wird in Art. 6 Abs. 4 ausdrücklich geregelt, dass die Daten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Die Erfüllung dieser Verpflichtung setzt voraus, dass der Verantwortliche im Vorfeld Aufbewahrungsfristen bestimmt.
\n
\n\n
\n\n
\n
Der Begriff «Persönlichkeitsprofil» wird durch «Profiling» ersetzt (siehe die Beschreibung unter «Begriffe»). Die Terminologie des Profilings war der eigentliche Knackpunkt, bei dem die Räte bis zuletzt uneinig waren und der auch in den Medien heftig diskutiert wurde. Schliesslich hat sich die Einigungskonferenz dem Antrag des Ständerates angeschlossen und die Einführung des «Profiling mit hohem Risiko» beschlossen (was mit dem heutigen Konzept des Persönlichkeitsprofils vergleichbar ist), mit der Konsequenz, dass bei dieser Art von Profiling die Einwilligung, sofern er-forderlich, ausdrücklich erfolgen muss. Wie die Risikoprüfung beim Profiling in der Praxis erfolgen soll, wird sich zeigen müssen, für Unternehmen aber sicherlich eine Herausforderung sein.
\n
\n\n
\n\n
Zu beachten ist, dass das DSG-neu kein Einwilligungserfordernis für das Profiling mit hohem Risiko einführt, sondern lediglich fordert, dass eine Einwilligung, sofern diese als Rechtfertigungsgrund nach Art. 31 DSG-neu überhaupt erforderlich ist, ausdrücklich erfolgen muss. Es sei daran erinnert, dass die Grundkonzeption sowohl des geltenden DSG als auch des DSG-neu anders ist als diejenige der DSGVO. Während nach der DSGVO für die Bearbeitung von personenbezogenen Daten immer ein Rechtsgrund erforderlich ist (Art. 6 und 9 DSGVO), ist die Bearbeitung von Personendaten nach dem DSG und DSG-neu grundsätzlich erlaubt, solange die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt wird. Nach dem DSG-neu gilt demnach weiterhin das «Erlaubnisprinzip mit Verbotsvorbehalt» während nach der DSGVO das «Verbotsprinzip mit Erlaubnisvorbehalt» gilt.
\n\n
\n\n
4. Privacy by Design und Privacy by Default
\n\n
\n\n
Neu sind die Prinzipien «Privacy by Design» und «Privacy by Default» wie wir sie bereits aus der DSGVO kennen, nun auch im DSG-neu verankert. In der Praxis ist der Verantwortliche schon heute verpflichtet, die Datenbearbeitung so auszugestalten, dass die Datenschutzvorschriften und die Grundsätze der Datenbearbeitung eingehalten werden. Ausdrücklich geregelt ist nun, dass der Verantwortliche verpflichtet ist, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Privacy by Default).
\n\n
\n\n
5. Datensicherheit
\n\n
\n\n
Der leicht revidierte Artikel 8 DSG-neu hält fest, dass sowohl der Verantwortliche als auch der Auftragsbearbeiter verpflichtet sind, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten. Neu wird also der risikobasierte Ansatz eingeführt. «Je grösser das Risiko einer Verletzung der Datensicherheit, umso höher sind die Anforderungen an die zu treffenden Massnahmen».8 Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.
\n\n
\n\n
6. Datenbearbeitung durch einen Auftragsbearbeiter
\n\n
\n\n
Art. 9 DSG-neu übernimmt im Wesentlichen den geltenden Artikel 10a DSG. Der unglückliche Begriff «Dritte» wird mit «Auftragsbearbeiter» ersetzt. Die Bearbeitung von Personendaten kann nach wie vor vertraglich oder durch Gesetz einem Auftragsbearbeiter übertragen werden, wenn (a) die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und (b) keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. In Anlehnung an die DSGVO muss ein Auftragsbearbeiter nun die Genehmigung des Verantwortlichen einholen, bevor er einen Unterauftragnehmer für die Datenbearbeitung beizieht.
\n\n
\n\n
7. Datenschutzberaterin oder -berater
\n\n
\n\n
Verantwortliche können, müssen aber nicht, eine Datenschutzberaterin oder einen Datenschutzberater als Anlaufstelle für die betroffenen Personen und Behörden, die in der Schweiz für den Datenschutz verantwortlich sind, ernennen. Die Aufgaben der Datenschutzberaterin oder Datenschutzberaters bestehen in der Schulung und Beratung des Verantwortlichen in Fragen des Datenschutzes und in der Mitwirkung bei der Anwendung der Datenschutzvorschriften.
\n\n
\n\n
Anders als nach dem geltenden DSG ist die Datenschutzberaterin oder der Datenschutzberater nicht dafür verantwortlich, die betriebsinterne Einhaltung der Datenschutzvorschriften zu überwachen und ein Verzeichnis der Datensammlungen zu führen.
\n\n
\n\n
Private Verantwortliche, die aufgrund ihrer Datenbearbeitung Datenschutz-Folgenabschätzungen gemäss Art. 22 DSG-neu durchführen müssen, haben mit der Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters einen Vorteil, sofern sie diese oder diesen konsultieren. Sie können in diesem Fall nämlich von der Konsultationspflicht des EDÖB absehen.9 Eine Konsultation ist vorgeschrieben, wenn sich aus einer Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung der Daten trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat. Voraussetzung für den Verzicht auf die Konsultationspflicht ist, dass die Datenschutzberaterin oder der Datenschutzberater (a) ihre oder seine Funktion gegenüber dem Verantwortlichen fachlich unabhängig und weisungsungebunden ausführt, (b) keine Tätigkeiten ausübt, die mit ihren oder seinen Aufgaben als Datenschutzberaterin oder Datenschutzberater unvereinbar sind, (c) über die erforderlichen Fachkenntnisse verfügt, und (d) der Verantwortliche die Kontaktdaten der Datenschutzberaterin oder des Datenschutzberaters veröffentlicht und dem EDÖB mitteilt.
\n\n
\n\n
8. Verzeichnis der Bearbeitungstätigkeiten
\n\n
\n\n
In Anlehnung an die DSGVO müssen der Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Das DSG-neu enthält eine Auflistung der jeweiligen Mindest-Informationen, die diese Verzeichnisse enthalten müssen. Neu muss das Verzeichnis der Bearbeitungstätigkeiten nicht mehr dem EDÖB gemeldet werden.
\n\n
\n\n
9. Vertreter in der Schweiz
\n\n
\n\n
Ähnlich wie unter der DSGVO müssen private Verantwortliche mit Sitz oder Wohnsitz im Ausland unter gewissen Voraussetzungen eine Vertretung in der Schweiz bezeichnen, wenn sie Personendaten von Personen in der Schweiz bearbeiten. Die Vertretung dient als Anlaufstelle für betroffene Personen und den EDÖB. Der Verantwortliche muss den Namen und die Adresse der Vertretung veröffentlichen. Die Voraussetzungen für die Bezeichnung des Vertreters und dessen Aufgaben werden in Art. 14 und 15 DSG-neu geregelt.
\n\n
\n\n
10. Bekanntgabe von Personendaten ins Ausland
\n\n
\n\n
Nach geltendem DSG dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Der EDÖB führt eine Liste mit einer generellen Einschätzung über das in den aufgeführten Ländern herrschende Datenschutzniveau. Diese unverbindliche Liste entbindet den Datenexporteur jedoch nicht von seiner Verantwortung, im Einzelfall zu prüfen, ob ein Land eine Gesetzgebung hat, die einen angemessenen Schutz bietet.
\n\n
\n\n
Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Ist dies der Fall, dürfen Personendaten ins Ausland transferiert werden. Ansonsten muss der Datenschutz durch Massnahmen gewährleistet werden, wie (a) einen völkerrechtlichen Vertrag, (b) Datenschutzklauseln zwischen den Vertragsparteien, die dem EDÖB vorgängig mitgeteilt wurden, (c) Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat (hierzu gehören die EU Standardvertragsklauseln), oder (d) verbindliche unternehmensinterne Datenschutzvorschriften (sogenannte Binding Corporate Rules - BCR), die vorgängig vom EDÖB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden (also beispielsweise die CNIL in Frankreich als Lead Authority). Der Bundesrat kann andere geeignete Garantien vorsehen. Denkbar wäre beispielsweise ein Nachfolgeabkommen des Swiss-US Privacy Shields.10
\n\n
\n\n
Abweichend von den oben genannten Grundsätzen dürfen Personendaten nur ins Ausland bekanntgegeben werden, wenn eine der Ausnahmen in Art. 17 DSG-neu vorliegt, wie beispielsweise die ausdrückliche Einwilligung der betroffenen Person.
\n\n
\n\n
11. Informationspflicht bei der Beschaffung von Personendaten
\n\n
\n\n
Die Informationspflicht wurde verschärft. Während heute eine Informationspflicht nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen besteht, muss neu der Verantwortliche die betroffenen Personen über die Beschaffung von Personendaten generell informieren. Die Mindestangaben, die in der Datenschutzerklärung gemacht werden müssen, sind in Art. 19 DSG-neu geregelt, wobei unterschieden wird, ob die Daten direkt bei der betroffenen Person beschafft wurden oder indirekt durch andere Quellen. Im Vergleich zur DSGVO sind diese Mindestangaben weniger umfassend. In einem Punkt geht das DSG-neu jedoch weiter als die DSGVO: Sofern Personendaten ins Ausland bekanntgegeben werden, muss nämlich der Verantwortliche den Staat des Empfängers mitteilen.
\n\n
\n\n
Die Ausnahmen von der Informationspflicht wurden konkretisiert. Der private Verantwortliche kann weiterhin die Mitteilung der Information in gewissen Fällen einschränken, aufschieben oder darauf verzichten. Dies ist unter anderem möglich, wenn die überwiegenden Interessen des Verantwortlichen dies erfordern, und der Verantwortliche die Personendaten nicht an Dritte bekannt gibt, wobei Unternehmen, die zum selben Konzern gehören, nicht als Dritte im Sinne dieser Ausnahme gelten.
\n\n
\n\n
Neu muss der Verantwortliche grundsätzlich die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (sogenannte «automatisierte Einzelentscheidung») informieren. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird. Art. 21 DSG-neu sieht entsprechende Ausnahmen vor.
\n\n
\n\n
12. Durchführung von Datenschutz-Folgenabschätzungen
\n\n
\n\n
In Anlehnung an die DSGVO muss der Verantwortliche neu vor der Datenbearbeitung eine Datenschutz-Folgenabschätzung erstellen, sofern die Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Ein hohes Risiko ergibt sich, insbesondere bei der Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung (namentlich bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten und wenn systematisch umfangreiche öffentliche Bereiche überwacht werden).
\n\n
\n\n
Inhalt einer Datenschutz-Folgenabschätzung bildet die geplante Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit und die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte. Art. 22 DSG-neu sieht entsprechende Ausnahmen vor. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, kann eine gemeinsame Abschätzung vorgenommen werden.
\n\n
\n\n
Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so holt der Verantwortliche vorgängig die Stellungnahme des EDÖB ein. Von dieser Verpflichtung kann er absehen, wenn er eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 DSG-neu ernannt und diese oder diesen betreffend der in Frage stehenden Bearbeitung konsultiert hat.
\n\n
\n\n
13. Meldung von Verletzungen der Datensicherheit
\n\n
\n\n
Das DSG-neu führt, wie bereits aus der DSGVO bekannt, eine Meldung von Verletzungen der Datensicherheit ein, d.h. eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n\n
\n\n
Die gute Nachricht ist, dass die Meldepflicht nach DSG-neu etwas pragmatischer als unter der DSGVO ausgestaltet ist. Der Verantwortliche ist verpflichtet, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt, zu melden.
\n\n
\n\n
Anders als die DSGVO verlangt das DSG-neu für eine Meldung an den EDÖB ein hohes Risiko für die betroffene Person. Mit dieser Regelung soll verhindert werden, dass unbedeutende Verletzungen gemeldet werden. Es bleibt in der Verantwortung des Verantwortlichen, die Auswirkungen der Verletzung und das damit verbundene Risiko für die betroffenen Personen zu bestimmen.
\n\n
\n\n
Das DSG-neu schreibt im Gegensatz zur DSGVO keine bestimmte Frist vor, innert welcher die Mitteilung an den EDÖB erfolgen soll, sondern verlangt eine Meldung ab Kenntnisnahme so rasch als möglich. Der Verantwortliche muss schnell handeln, hat aber einen gewissen Ermessensspielraum. «Massgebend ist dabei unter anderem das Ausmass der Gefährdung der betroffenen Person. Je erheblicher die Gefährdung, je grösser die Anzahl der betroffenen Personen, umso schneller muss der Verantwortliche handeln».11 Auch muss der Verantwortliche die betroffene Person nur dann informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Massgebend ist, ob durch die Information die Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person reduziert werden können. Dies ist insbesondere der Fall, wenn die betroffene Person entsprechende Vorkehrungen zu ihrem Schutz treffen kann, zum Beispiel, indem sie ihre Zugangsdaten oder Passwörter ändert.12 Der Verantwortliche kann die Information an die betroffene Person unter gewissen Voraussetzungen einschränken, aufschieben oder darauf verzichten.
\n\n
\n\n
Der Auftragsbearbeiter hat keine eigene Meldepflicht an den EDÖB, muss aber dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit melden.
\n\n
\n\n
Art. 24 DSG-neu listet die Mindestanforderungen an die Meldung an den EDÖB auf.
\n\n
\n\n
14. Rechte der betroffenen Person
\n\n
\n\n
Auskunftsrecht: Das bisher in Art. 8 DSG geregelte Auskunftsrecht wird neu in Art. 25 DSG-neu geregelt. Der Grundsatz bleibt gleich. Der Verantwortliche teilt der betroffenen Person diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Diese Informationen entsprechen denjenigen, die schon aufgrund der Informationspflicht mitgeteilt werden müssen. Die Mindestangaben, die aufgrund eines Auskunftsgesuchs gemacht werden müssen, werden im Gesetz aufgelistet. Neu ist die Auskunftspflicht über automatisierte Einzelentscheidungen. In diesem Fall muss die betroffene Person auch über die Logik, auf der die Entscheidung beruht, informiert werden. Die betroffene Person kann verlangen, den eigenen Standpunkt zu äussern und dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
\n\n
\n\n
Die bisher geltenden Einschränkungen des Auskunftsrechts bestehen weiter. Neu kann ein Verantwortlicher das Auskunftsrecht «verweigern, einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist». Gemäss Botschaft13 ist diese Ausnahme eng auszulegen. Insbesondere muss der Verantwortliche die für die betroffene Person günstigere Lösung wählen. Er muss so weit wie möglich die Auskunft lediglich einschränken, darf sie allenfalls aufschieben und kann sie nur in den absolut eindeutigen, offensichtlichen Fällen verweigern.
\n\n
\n\n
Recht auf Datenportabilität: Neu hat die betroffene Person unter gewissen Voraussetzungen ein Recht auf Datenherausgabe oder -übertragung.14 Die betroffene Person kann verlangen, dass die Daten ihr oder, sofern dies keinen unverhältnismässigen Aufwand erfordert, einem anderen Verantwortlichen übertragen werden. Die Datenherausgabe muss grundsätzlich kostenlos und in einem gängigen elektronischen Format erfolgen. Die gleichen Einschränkungen wie zur Auskunftspflicht können geltend gemacht werden.
\n\n
\n\n
Rechtsansprüche: Die bisher geltenden Rechtsansprüche gelten weiterhin und sind in Art. 32 DSG-neu zusammengefasst. Das Recht auf Löschung oder Vernichtung wird im DSG-neu nun ausdrücklich geregelt, obwohl sich dieses implizit bereits aus dem bisherigen Recht ergibt.
\n\n
\n\n
15. Verwaltungsmassnahmen und Sanktionen
\n\n
\n\n
Dem EDÖB werden in Art. 51 DSG-neu erweiterte Kompetenzen gegeben. Neu kann er nicht nur Massnahmen empfehlen, sondern Verwaltungsmassnahmen auch verfügen. Zu diesen Massnahmen gehören beispielsweise Massnahmen gegen Datenbearbeitungen, die gegen die Datenschutzvorschriften verstossen, einschliesslich der Verfügung, Personendaten zu vernichten oder dem Verbot, Personendaten ins Ausland bekannt zu geben, sowie die Anordnung eine Datenschutz-Folgenabschätzung durchzuführen oder einer betroffenen Person die Auskünfte zu erteilen. Nach wie vor kann der EDÖB keine Bussen aussprechen. Diese Kompetenz obliegt den Kantonen.15
\n\n
\n\n
Die Strafbestimmungen wurden signifikant verschärft.16 Neu können unter anderem private Personen (also anders als unter der DSGVO nicht Unternehmen!) auf Antrag mit Busse bis zu 250 000 Franken bestraft werden, wenn sie gegen ihre Informations- oder Auskunftspflichten verstossen oder ihre Sorgfaltspflichten verletzen, namentlich Personendaten ins Ausland bekanntgeben oder die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne die gesetzlichen Anforderungen zu erfüllen, oder die Mindestanforderungen an die Datensicherheit nicht einhalten. Wer dem EDÖB im Rahmen einer Untersuchung vorsätzlich die Mitwirkung verweigert macht sich ebenfalls strafbar.
\n\n
\n\n
Strafbar macht sich schliesslich auch, wer vorsätzlich eine berufliche Schweigepflicht verletzt, indem sie oder er geheime Personendaten vorsätzlich offenbart, von denen sie oder er bei der Ausübung ihres oder seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat. Mit dieser Bestimmung wird neu auch für Personen (und deren Hilfspersonen), die nicht unter das strafrechtlich sanktionierte Berufsgeheimnis fallen17, eine Schweigepflicht eingeführt. Die Verletzung der Schweigepflicht kann auf Antrag mit einer Busse bis zu 250 000 Franken bestraft werden.
\n\n
\n\n
Schliesslich wird mit einer Busse bis zu 250 000 Franken bestraft, wer vorsätzlich eine Verfügung des EDÖB oder einer Rechtsmittelinstanz unter Strafandrohung nicht befolgt.
\n\n
\n\n
Zu beachten ist, dass Verstösse gegen zentrale, neu im Gesetz verankerte Pflichten, wie das Führen eines Verzeichnisses der Bearbeitungstätigkeiten, die Meldung von Verstössen gegen die Datensicherheit oder die Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen, nicht im Bussgeldkatalog zu finden sind.
\n\n
\n\n
Umsetzungsmassnahmen
\n\n
\n\n
Unternehmen sollten eine Datenmanagement-Analyse durchführen und ihren Konformitätsgrad mit dem DSG-neu sowie allfällige Lücken und Risiken identifizieren. Dabei sollte der Fokus insbesondere auf folgende Bereiche gelegt werden:
\n\n
\n\n
\n
die Governance Struktur,
\n
Datenschutz-Standards und Prozesse zur Einhaltung der Grundsätze und Datensicherheit,
\n
die Transparenz gegenüber den betroffenen Personen,
\n
das Verzeichnis der Datenbearbeitungen,
\n
die Datenflüsse innerhalb des Unternehmens und an Dienstleister (wobei hier insbesondere auch auf die neuesten Entwicklungen und das Positionspapier des EDÖB geachtet werden sollte18),
\n
die Prozesse zur Durchführung von Datenschutz-Folgenabschätzungen,
\n
Meldungen von Datensicherheitsverletzungen an den EDÖB sowie
\n
die Beantwortung von Auskunftsgesuchen.
\n
\n\n
\n\n
Unternehmen, welche bereits ein DSGVO Datenschutzprogramm eingeführt haben, werden einen geringeren Handlungsbedarf haben als Unternehmen, die nicht unter die DSGVO fallen oder noch keine entsprechenden Massnahmen ergriffen haben.
\n\n
\n\n
Viele Unternehmen werden aber ohnehin Konzepte wie Privacy by Design sowie Prozesse, die eine gesetzeskonforme Löschung oder Vernichtung der Daten und die Datenportabilität unterstützen, einführen müssen. Auch werden viele Unternehmen ihre Datenschutzerklärungen überprüfen und gegebenenfalls neu anpassen oder aber komplett neu erstellen müssen, um die Vorgaben des DSG-neu zu erfüllen. Verzeichnisse, welche heute Datensammlungen dokumentieren, werden ebenfalls neu strukturiert werden müssen, um Datenbearbeitungsvorgänge zu erfassen.
\n\n
\n\n
FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.
[10] Am 8. September hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) festgestellt, dass der Swiss-US Privacy Shield für die Übermittlung von Personendaten aus der Schweiz in die USA nicht mehr angemessen ist (siehe dazu die Stellungnahme des EDÖB).
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet. Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist. Dieser Artikel fasst die wichtigsten Neuerungen für Unternehmen zusammen.
\n","preview":"","datei":[],"linkextern":""},{"id":97,"title":"Das revidierte Schweizer Datenschutzgesetz ist verabschiedet","slug":"the-revised-swiss-data-protection-act-is-adopted","link":"/de/news/the-revised-swiss-data-protection-act-is-adopted","blocks":[{"id":123,"title":false,"slug":false,"link":"/de/dev/part-data/the-revised-swiss-data-protection-act-is-adopted-blocks/"},{"id":124,"title":false,"slug":false,"link":"/de/dev/part-data/the-revised-swiss-data-protection-act-is-adopted-blocks/"}],"titel":"Das revidierte Schweizer Datenschutzgesetz ist verabschiedet ","preview":"","text":"
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet (angenommener Schlussabstimmungstext DSG). Das Bundesgesetz untersteht dem fakultativen Referendum. Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist.
\n\n
\n\n
Nachdem sich die Räte bis zuletzt beim Thema Profiling uneinig waren, konnten sie sich schliesslich auf die Einführung des Konzepts «Profiling mit hohem Risiko» einigen. Die Konsequenz dieser Art von Profiling ist, dass die Einwilligung, sofern erforderlich, ausdrücklich erfolgen muss (siehe unten die relevanten Gesetzesartikel betreffend Profiling und Einwilligung).
\n\n
\n\n
Wie die Risikoprüfung beim Profiling in der Praxis erfolgen soll, wird sich zeigen müssen, wird aber sicherlich für Unternehmen eine Herausforderung sein.
\n\n
\n\n
Zu beachten ist, dass das revidierte DSG kein Einwilligungserfordernis für das Profiling mit hohem Risiko einführt, sondern lediglich fordert, dass eine Einwilligung, sofern diese als Rechtfertigungsgrund nach Art. 31 DSG-neu überhaupt erforderlich ist, ausdrücklich erfolgen muss. Es sei daran erinnert, dass die Grundkonzeption des DSG und DSG-neu anders ist als diejenige der DSGVO. Während nach der DSGVO für die Verarbeitung von personenbezogenen Daten immer ein Rechtsgrund erforderlich ist (Art. 6 und 9 DSGVO), ist die Bearbeitung von Personendaten nach dem DSG und DSG-neu grundsätzlich erlaubt, solange die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt wird. Nach dem DSG-neu gilt demnach weiterhin das «Erlaubnisprinzip mit Verbotsvorbehalt» während nach der DSGVO das «Verbotsprinzip mit Erlaubnisvorbehalt» gilt.
\n\n
\n\n
Das revidierte Datenschutzgesetz gilt künftig für die Bearbeitung von Personendaten natürlicher Personen (heute auch juristischer Personen). Es führt spezifische Begriffe, wie \"Verantwortlicher\" und \"Auftragsbearbeiter\" ein und erweitert den Begriff der \"besonders schützenswerten Personendaten\" um \"genetische Daten\" und \"biometrische Daten, die eine natürliche Person eindeutig identifizieren\". Konzepte, wie bereits aus der DSGVO bekannt, sind nun im Gesetz verankert, wie beispielsweise Privacy by Design, das Verzeichnis der Bearbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, die allgemeine Informationspflicht bei der Beschaffung von Personendaten und die Meldung von Verletzungen der Datensicherheit. Künftig müssen auch im Ausland ansässige Verantwortliche unter bestimmten Voraussetzungen einen Vertreter in der Schweiz benennen, wenn sie Personendaten von Personen in der Schweiz bearbeiten. Das neue Gesetz verschärft die Strafbestimmungen mit Bussen von bis zu 250 000 Franken für Privatpersonen, die gegen gewisse Bestimmungen verstossen, wie die Informations-, Auskunfts- und Mitwirkungspflicht mit dem EDÖB, die Bestimmungen über die Bekanntgabe von Personendaten ins Ausland und die Beauftragung von Auftragsbearbeitern sowie die Nichteinhaltung der Mindestanforderungen an die Datensicherheit.
\n\n
\n\n
Eine detaillierte Zusammenfassung und Analyse des revidierten Gesetzes und seiner Grundsätze wird folgen.
\n\n
\n\n
Relevante Artikel im DSG-neu betreffend Profiling:
\n\n
\n\n
Art. 5 lit f:
\n\n
Profiling ist jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
\n\n
\n\n
Art. 5 lit g:
\n\n
Profiling mit hohem Risiko: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
\n\n
\n\n
Art. 6 Abs. 6:
\n\n
Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
\n\n
\n\n
Art. 6 Abs. 7:
\n\n
Die Einwilligung muss ausdrücklich erfolgen für:
\n\n
a. die Bearbeitung von besonders schützenswerten Personendaten;
\n\n
b. ein Profiling mit hohem Risiko durch eine private Person; oder
\n\n
c. ein Profiling durch ein Bundesorgan.
\n\n
\n\n
Art. 30
\n\n
Persönlichkeitsverletzungen
\n\n
1 Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen.
\n\n
2 Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn:
\n\n
a. Personendaten entgegen den Grundsätzen nach den Artikeln 6 und 8 bearbeitet werden;
\n\n
b. Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden;
\n\n
c. Dritten besonders schützenswerte Personendaten bekanntgegeben werden.
\n\n
3 In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.
\n\n
\n\n
Art. 31 Abs. 1
\n\n
Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
\n\n
\n","datum":"25.09.2020","teasertext":"
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet. Das Bundesgesetz untersteht dem fakultativen Referendum. Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist.
\n","datei":[],"linkextern":""},{"id":154,"title":"EDÖB erklärt Swiss-US Privacy Shield für ungültig (auf Englisch)","slug":"edoeb-erklaert-swiss-us-privacy-spielt-fuer-ungueltig-auf-englisch","link":"/de/news/edoeb-erklaert-swiss-us-privacy-spielt-fuer-ungueltig-auf-englisch","titel":"EDÖB erklärt Swiss-US Privacy Shield für ungültig (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Swiss Data Protection Authority considers the CH-US Privacy Shield no longer adequate – Swiss companies must act now.
\n\n
\n\n
On 8 September, the Federal Data Protection and Information Commissioner (FDPIC) determined that it no longer considers the CH-US Privacy Shield adequate for transferring personal data from Switzerland to the USA (please see the statement, the policy paper, and the amended list of states with adequate protection here). Such a decision was expected following the EU Court of Justice (CJEU) judgment of mid-July in the case C-311/18 — Data Protection Commissioner v. Facebook Ireland and Maximillian Schrems. See our summary here.
\n\n
\n\n
Based on this determination and within the scope of its competence (Art. 31 para. 1 lit. d FADP and Art. 7 of the Ordinance to the FADP (OFADP)), the FDPIC has removed the USA from the list of states with adequate data protection under certain conditions (Privacy Shield) and classifies the USA from now on as a country with insufficient protection.
\n\n
\n\n
The list of states is a list of countries whose legislation guarantees adequate data protection in the opinion of the FDPIC. However, the list does not release data exporters from their obligation to assess the presumed level of protection if there are indications of data protection risks in a specific case and, if necessary, to take appropriate safeguards within the meaning of Art. 6 para. 2 FADP, or even to refrain from exporting the data. The list distinguishes between countries with \"adequate data protection\" and countries with \"adequate data protection under certain conditions\". The USA has belonged to the second group since the beginning of 2017 with the introduction of the CH-US Privacy Shield.
\n\n
\n\n
With the removal of the USA from the list, the transfer of personal data to the USA now requires the fulfillment of one of the conditions of Art. 6 para. 2 FADP (such as contractual guarantees, binding corporate rules (BCR), or consent). The data exporter remains obliged to carry out a risk assessment in each case and, in particular, to ensure data protection's adequacy in the destination country.
\n\n
\n\n
However, the determination of the FDPIC and the removal of the USA from the list of states does not influence the continued existence of the CH-US Privacy Shield. The framework would have to be formally revoked by the US Department of Commerce. If a company continues to transfer personal data to the USA under the CH-US Privacy Shield without taking additional safeguards under Art. 6 para. 2 FADP, it is in breach of the data protection principles under the FADP. It thus unlawfully violates the personality of the data subjects, unless there is a legal justification, including consent, an overriding private or public interest or law.
\n\n
\n\n
In its policy paper, the FDPIC provides guidance on the measures to be taken by companies that transfer personal data to non-listed countries based on contractual clauses. Data exporters should consider each case with due diligence, and, in particular, verify if the receiving company in a non-listed country is subject to governmental access, and further whether the receiving company is entitled and in a position to provide the cooperation necessary for the enforcement of Swiss data protection principles. If this is not the case, Swiss data exporters must consider technical measures that effectively prevent the authorities in the destination country from accessing the transferred personal data, in particular, through encryption along with the principles of BYOK (bring your own key) and BYOE (bring your own encryption). However, encryption may not be useful for the receiving company's services beyond mere data hosting. If such technical measures are not possible, the FDPIC recommends refraining from transferring personal data to non-listed countries based on contractual clauses.
\n\n
\n\n
Please note that under the current FADP, the FDPIC only has the power to issue recommendations regarding the method of processing, and, in case such recommendations are not followed or rejected, to refer the matter to the Federal Administrative Court for a decision. Under the revised Draft FADP (D-FADP, according to the current state), however, the FDPIC shall obtain extended power to issue an order to the controller directly and prohibit the data transfer abroad if it is contrary to the requirements of the D-FADP or violates provisions relating to the disclosure of personal data abroad. Responsible individuals who deliberately fail to comply with an order issued by the FDPIC may be fined up to 250,000 Swiss francs, provided that the order contains such a threat of punishment.
\n\n
\n\n
Therefore, Swiss companies should continue to monitor developments in this matter and watch out for further guidance of the FDPIC. Companies should also identify and document any cross-border data transfer within their organization and to third parties, and the safeguards used. Transfers relying on the CH-US Privacy Shield should be based on alternative transfer mechanisms. If Standard Contractual Clauses (SCC) are used, companies should conduct assessments in each case, as described above, and take additional contractual, technical, and organizational measures to reach an adequate protection level for the data transferred.
\n\n
\n","datum":"11.09.2020","teasertext":"
Am 8. September 2020 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) dem Swiss-US Privacy Shield Regime die Anerkennung als Grundlage für einen angemessenen Datenschutz für die Übermittlung von Personendaten aus der Schweiz in die USA abgesprochen und ist somit dem Entscheid vom 16. Juli 2020 des Europäischen Gerichtshofs im Fall Schrems II gefolgt. Der folgende Artikel erläutert, was dies für Schweizer Unternehmen bedeutet, die personenbezogene Daten ins Ausland übermitteln, und wie sie auf diesen Entscheid reagieren sollten. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":155,"title":"Was ist bei der Übermittlung von Personendaten ins Ausland zu beachten?","slug":"was-ist-bei-der-uebermittlung-von-personendaten-ins-ausland-zu-beachten","link":"/de/news/was-ist-bei-der-uebermittlung-von-personendaten-ins-ausland-zu-beachten","titel":"Was ist bei der Übermittlung von Personendaten ins Ausland zu beachten?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Der Gerichtshof der Europäischen Union (EuGH) hat in einem kürzlich publizierten Entscheid die Übermittlung von Personendaten in Drittländer erheblich erschwert. Welche Auswirkungen hat dieser Entscheid auf Unternehmen in der Schweiz?
\n\n
\n\n
Die geltende EU Datenschutz-Grundverordnung (DSGVO) und das schweizerische Datenschutzgesetz (DSG) verbieten grundsätzlich die Übermittlung von Personendaten aus dem Europäischen Wirtschaftsraum (EWR) und der Schweiz in Länder, die keinen angemessenen Datenschutz gewährleisten (Drittländer).
\n\n
\n\n
Eine Übermittlung in Drittländer, einschliesslich Fernzugriff, ist nur erlaubt, wenn mindestens eine der gesetzlich vorgesehenen Schutzmassnahmen getroffen wird, wie beispielsweise die Anwendung von EU-Standardvertragsklauseln (SCC) zwischen Datenexporteuren und Datenempfängern oder die Einführung von verbindlichen internen Unternehmensregeln (BCR) für den internen Datenaustausch. Eine Übermittlung ist auch erlaubt, wenn eine Ausnahmeregelung vorliegt, beispielsweise die ausdrückliche Einwilligung der betroffenen Personen.
\n\n
\n\n
Die USA gelten grundsätzlich aus europäischer Sicht als Drittland. Sowohl die EU als auch die Schweiz haben jedoch mit den USA ein Regelwerk erarbeitet, den sogenannten EU-U.S. Privacy Shield und CH-U.S. Privacy Shield. Dieses Regelwerk erlaubt die Übermittlung von Personendaten aus der EU und der Schweiz an US-Unternehmen, die sich dem jeweiligen Privacy Shield unterstellt haben.
\n\n
\n\n
Das Urteil des EuGH in Sachen Schrems II erschwert die grenzüberschreitende Datenübermittlung
\n\n
\n\n
Am 16. Juli 2020 hob der Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-311/18 - Data Protection Commissioner v. Facebook Ireland and Maximilian Schrems (Schrems II) den EU-U.S. Privacy Shield mit sofortiger Wirkung auf. Der Grund für diese Entscheidung liegt darin, dass das US-Recht aufgrund der weitgehenden Befugnisse der US Geheimdienste gemäss der Einschätzung des EuGH kein Schutzniveau bietet, das dem in der Europäischen Union im Wesentlichen gleichwertig ist.
\n\n
\n\n
Gleichzeitig bestätigte der EuGH die prinzipielle Gültigkeit von SCC. Der EuGH appelliert jedoch an die bereits in den SCC festgeschriebenen Verpflichtungen von Unternehmen, die Personendaten auf der Grundlage von SCC aus der EU in ein Drittland exportieren oder importieren, und betont, dass die reine Unterzeichnung der SCC nicht ausreicht. Die Parteien müssen im Einzelfall prüfen, ob die SCC im Empfängerland eingehalten werden können und die Rechte der betroffenen Personen im Empfängerland ein angemessenes Schutzniveau geniessen, das dem in der Europäischen Union gleichwertig ist.
\n\n
\n\n
Ist dies nicht der Fall, muss der Datenexporteur zusätzliche Schutzmassnahmen ergreifen oder die betreffende Datenübermittlung aussetzen. Schutzmassnahmen können technischer Natur sein, wie beispielsweise die Verschlüsselung der Daten. Zusätzliche vertragliche Absicherungen und organisatorische Massnahmen sind ebenfalls denkbar. Der EuGH legt jedoch nicht fest, welche Art von Schutzmassnahmen ergriffen werden sollen, und lässt somit den Unternehmen einen gewissen Spielraum.
\n\n
\n\n
Was bedeutet dieses Urteil für Unternehmen in der Schweiz?
\n\n
\n\n
Das EuGH-Urteil ist auf die Schweiz nicht direkt anwendbar. Somit bleibt der CH-U.S. Privacy Shield vorerst gültig. Auch vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannte SCC können weiterhin für Datenübermittlungen aus der Schweiz genutzt werden. Der EDÖB hat das Urteil des EuGH zur Kenntnis genommen, hat sich aber noch nicht zur Gültigkeit des CH-U.S. Privacy Shields geäussert. Es ist jedoch zu erwarten, dass die Behörde dem EuGH-Urteil folgen und auch den CH-U.S. Privacy Shield für ungültig erklären wird (wie sie es auch 2015 nach der Ungültigkeitserklärung des Vorgängerabkommens Safe-Harbor getan hat). Für Unternehmen in der Schweiz, die dem DSG unterliegen, besteht somit aufgrund des EuGH-Urteils vorerst kein dringender Handlungsbedarf. Dennoch sollten die internen und externen Datenflüsse jetzt schon ermittelt und Vorbereitungen für einen kurzfristigen Wechsel von Privacy Shield auf SCC getroffen werden. Auf viele Unternehmen in der Schweiz ist jedoch auch die DSGVO anwendbar. Diese Unternehmen sollten jetzt aktiv werden, um Personendaten weiterhin legitim in Drittländer übermitteln zu können und signifikante Bussgelder zu vermeiden.
\n\n
\n\n
Was können Unternehmen tun?
\n\n
\n\n
\n
Unternehmen sollten die Entwicklungen in der EU und in der Schweiz überwachen und insbesondere auf die Herausgabe von Leitlinien und revidieren SCC als auch auf eine allfällige Ungültigkeitserklärung des CH-U.S. Privacy Shields achten.
\n
\n\n
\n\n
\n
Interne und externe grenzüberschreitende Datenübermittlungen sollten ermittelt und dokumentiert werden.
\n
\n\n
\n\n
\n
Für Datenübermittlungen, die auf den EU-U.S. Privacy Shield gestützt sind, sollten SCC mit den Datenempfängern vereinbart werden.
\n
\n\n
\n\n
\n
Für Datenübermittlungen auf der Grundlage von SCC (einschliesslich konzerninterner Datenübermittlungsvereinbarungen) sollten im Rahmen der Due Diligence mit dem Datenempfänger Analysen im Empfängerland durchgeführt und gegebenenfalls zusätzliche vertragliche, organisatorische und technische Massnahmen getroffen werden.
\n
\n\n
\n\n
\n
Schliesslich sollten Unternehmen ihre Datenübermittlungsstrategie überdenken und gegebenenfalls einen Wechsel auf robustere Mechanismen, wie BCR in Betracht ziehen.
\n
\n\n
\n","datum":"04.09.2020","teasertext":"
In einem im Fokus Rechtsguide erschienenen Artikel erklärt Daniela Fábián Masoch, worauf bei grenzüberschreitenden Datenübermittlungen geachtet werden muss und welche Auswirkungen das Urteil des EuGH in Sachen Schrems II für Schweizer Unternehmen hat.
\n","preview":"","datei":[],"linkextern":""},{"id":156,"title":"Urteil des EuGH zu grenzüberschreitenden Datenübermittlungen aus der EU in Drittländer – was nun?","slug":"urteil-des-eugh-zu-grenzueberschreitenden-datenuebermittlungen-aus-der-eu-in-drittlaender-was-nun","link":"/de/news/urteil-des-eugh-zu-grenzueberschreitenden-datenuebermittlungen-aus-der-eu-in-drittlaender-was-nun","titel":"Urteil des EuGH zu grenzüberschreitenden Datenübermittlungen aus der EU in Drittländer – was nun?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Am 16. Juli 2020 verkündete der Gerichtshof der Europäischen Union (EuGH) sein Urteil in der Rechtssache C-311/18 — Data Protection Commissioner v. Facebook Irland und Maximillian Schrems (Schrems II). In diesem Fall ersuchte M. Schrems die Kommission, die Übermittlung seiner personenbezogenen Daten durch Facebook Irland an die in den USA ansässige Facebook Inc. zu verbieten oder auszusetzen, mit der Begründung, dass dieses Drittland kein angemessenes Schutzniveau gewährleiste. Dieses Urteil hat weitreichende Konsequenzen für jegliche Datenübermittlung aus der EU in Drittländer.
\n\n
\n\n
Die Ergebnisse der Entscheidung des EuGH
\n\n
\n\n
Privacy Shield
\n\n
\n\n
Der EuGH hob den Beschluss 2016/1250 der Europäischen Kommission über die Übermittlung personenbezogener Daten in die USA (Privacy Shield) mit sofortiger Wirkung auf. Der Grund für diese Entscheidung liegt im Kern darin, dass das US-Recht (insbesondere Abschnitt 702 Foreign Intelligence Surveillance Act (FISA) und die Executive Order 12333) gemäss der Einschätzung des EuGH kein angemessenes Schutzniveau bietet, das dem in der EU im Wesentlichen gleichwertig ist (in Bezug auf angemessene Schutzvorkehrungen, durchsetzbare Rechte und wirksame Rechtsbehelfe, die gemäss DSGVO erforderlich sind).
\n\n
\n\n
In der Schweiz hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) das Urteil des EuGH zur Kenntnis genommen. Das Urteil ist nicht direkt auf die Schweiz und damit nicht auf den CH-US Privacy Shield anwendbar. Der EDÖB wird das Urteil im Detail prüfen und zu gegebener Zeit dazu Stellung nehmen. Während der CH-US-Privacy Shield derzeit noch gültig ist, ist zu erwarten, dass die Behörde dem EuGH-Urteil folgen und auch den CH-US-Privacy Shield für ungültig erklären wird (wie sie es auch 2015 nach der Ungültigerklärung der Safe-Harbor-Vereinbarung getan hat).
\n\n
\n\n
Standardvertragsklauseln (SCC)
\n\n
\n\n
Der EuGH bestätigte die prinzipielle Gültigkeit des Kommissionsbeschlusses 2010/87/EG über Standardvertragsklauseln (SCC), betonte jedoch die Verantwortung des Datenexporteurs und des Datenimporteurs für die Durchführung einer Einzelfallanalyse des innerstaatlichen Rechts des Datenimporteurs, insbesondere in Bezug auf den Zugang von Behörden und Rechtsbehelfe, um festzustellen, ob die Rechte der betroffenen Personen im Drittland ein angemessenes Schutzniveau geniessen, das dem in der Union gleichwertig ist. Ist dies nicht der Fall, muss der Datenexporteur zusätzliche wirksame Schutzmassnahmen ergreifen oder die betreffende Datenübermittlung aussetzen. Solche zusätzlichen Schutzmassnahmen können technische Massnahmen wie die Verschlüsselung der Daten im Transit und im Ruhezustand, vertragliche Absicherungen oder organisatorische Massnahmen umfassen. Der EuGH legt jedoch nicht fest, welche Art von zusätzlichen Schutzmassnahmen ergriffen werden sollen, und lässt somit die Unternehmen in Ungewissheit. Weitere Leitlinien werden in naher Zukunft erwartet.
\n\n
\n\n
Die vom EuGH hervorgehobenen Verpflichtungen sind nicht neu. Sie sind sowohl in den «Controller to Processor SCC» als auch in den «Controller to Controller SCC» bereits enthalten. Der EuGH appelliert an die bestehenden Verpflichtungen von Unternehmen, die personenbezogene Daten auf der Grundlage der SCC aus der EU in ein Drittland ohne Angemessenheitsentscheid der EU-Kommission exportieren bzw. importieren, und betont, dass die reine Unterzeichnung der SCC nicht ausreicht, sondern dass die Parteien im Einzelfall prüfen müssen, ob die SCC im Empfängerland eingehalten werden können.
\n\n
\n\n
Die Entscheidung des EuGH betrifft im Prinzip die «Controller to Processor SCC». Dieselben Argumente gelten jedoch auch für die Übermittlung personenbezogener Daten aus der EU in ein Drittland auf der Grundlage der «Controller to Controller SCC» oder verbindlicher interner Datenschutzvorschriften (Binding Corporate Rules, BCR).
\n\n
\n\n
Unternehmen, die diese Analyse nicht durchführen und gegebenenfalls personenbezogene Daten auf der Grundlage von SCC in ein Drittland übermitteln, in dem der Datenempfänger aufgrund dem EU-Recht nicht gleichwertiger lokaler Gesetzgebung nicht in der Lage ist, die SCC effektiv einzuhalten, verstossen gegen die Anforderungen der DSGVO (selbst wenn die SCC unterzeichnet wurden) und riskieren somit hohe Geldstrafen von bis zu EUR 20'000'000 oder 4% des Jahresumsatzes des vorangehenden Geschäftsjahres, je nachdem, welcher der Beträge höher ist. Zudem können solche Datenübermittlungen von den zuständigen Aufsichtsbehörden verboten oder ausgesetzt werden
\n\n
\n\n
Relevante Klauseln in den aktuellen SCC
\n\n
\n\n
Controller to Processor SCC vom 5. Februar 2010 (2010/87/EU)
\n\n
\n\n
Klausel 4 (a): Der Datenexporteur erklärt sich bereit und garantiert, dass die Verarbeitung der personenbezogenen Daten einschließlich der Übermittlung entsprechend den einschlägigen Bestimmungen des anwendbaren Datenschutzrechts durchgeführt wurde und auch weiterhin so durchgeführt wird (...) und nicht gegen die einschlägigen Vorschriften dieses Staates verstößt.
\n\n
\n\n
Klausel 5: Der Datenimporteur erklärt sich bereit und garantiert, dass:
\n\n
\n\n
(a): er die personenbezogenen Daten nur im Auftrag des Datenexporteurs und in Übereinstimmung mit dessen Anweisungen und den vorliegenden Klauseln verarbeitet; dass er sich, falls er dies aus irgendwelchen Gründen nicht einhalten kann, bereit erklärt, den Datenexporteur unverzüglich davon in Kenntnis zu setzen, der unter diesen Umständen berechtigt ist, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten;
\n\n
\n\n
b): er seines Wissens keinen Gesetzen unterliegt, die ihm die Befolgung der Anweisungen des Datenexporteurs und die Einhaltung seiner vertraglichen Pflichten unmöglich machen, und eine Gesetzesänderung, die sich voraussichtlich sehr nachteilig auf die Garantien und Pflichten auswirkt, die die Klauseln bieten sollen, dem Datenexporteur mitteilen wird, sobald er von einer solchen Änderung Kenntnis erhält; unter diesen Umständen ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten;
\n\n
\n\n
Controller to Controller SCC vom 27. Dezember 2004 (2004/915/EG)
\n\n
\n\n
Klausel I (b): Der Datenexporteur gibt folgende Zusicherungen: Er hat sich im Rahmen des Zumutbaren davon überzeugt, dass der Datenimporteur seine Rechtspflichten aus diesen Klauseln zu erfüllen in der Lage ist.
\n\n
\n\n
Klausel II (c): Der Datenimporteur gibt folgende Zusicherungen: Zum Zeitpunkt des Vertragsabschlusses bestehen seines Wissens in seinem Land keine entgegenstehenden Rechtsvorschriften, die die Garantien aus diesen Klauseln in gravierender Weise beeinträchtigen; er benachrichtigt den Datenexporteur (der die Benachrichtigung erforderlichenfalls an die Kontrollstelle weiterleitet), wenn er Kenntnis von derartigen Rechtsvorschriften erlangt.
\n\n
\n\n
Reaktionen der Datenschutzbehörden
\n\n
\n\n
Inzwischen haben mehrere Datenschutzbehörden sowie der Europäische Datenschutzbeauftragte (Stellungnahme vom 17. Juli 2020), der Europäische Datenschutzausschuss (EDSA) (Stellungnahme vom 17. Juli 2020) und die Deutsche Datenschutzkonferenz (DSK) (Pressemitteilung vom 28. Juli 2020) erste Leitlinien für den künftigen Umgang mit Datenübermittlungen herausgegeben. Auf der Website der IAPP ist eine Übersicht aller bisher veröffentlichten Leitlinien mit Links zu den entsprechenden Dokumenten veröffentlicht.
\n\n
\n\n
Einige Datenschutzbehörden wie die deutschen Datenschutzbehörden in Berlin (Pressemitteilung vom 17. Juli 2020) und Hamburg (Pressemitteilung vom 16. Juli 2020) haben rigorose Erklärungen zur Rechtswidrigkeit von Datenübermittlungen auf der Grundlage der SCC in die USA abgegeben. Die Berliner Datenschutzbehörde fordert gar sämtliche ihrer Aufsicht unterstehenden Verantwortlichen auf, Daten nicht mehr in die USA zu übermitteln, sondern umgehend zu Dienstleistern mit Sitz in der EU oder einem anderen Drittland mit einem angemessenen Schutzniveau zu wechseln.
\n\n
\n\n
Der EDSA hat zusätzlich zu seiner Erklärung FAQ herausgegeben. Weitere Leitlinien, insbesondere hinsichtlich der zusätzlich zu ergreifenden Schutzmassnahmen, werden erwartet.
\n\n
\n\n
\n\n
Was Unternehmen tun können
\n\n
\n\n
Es ist zu erwarten, dass der EDSA, die EU-Kommission und die Aufsichtsbehörden weitere Leitlinien zu den «zusätzlichen Schutzmassnahmen» bereitstellen und dass die EU-Kommission überarbeitete SCC herausgibt. Datenexporteure und -importeure sollten jedoch bereits Massnahmen in Betracht ziehen, um ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der EU in Drittländer zu gewährleisten:
\n\n
\n\n
\n
Verfolgung der weiteren Entwicklung und insbesondere der vom EDSA, der EU-Kommission und Aufsichtsbehörden herausgegebenen Leitlinien und die Herausgabe überarbeiteter SCC.
\n
\n\n
\n\n
\n
Ermittlung und Dokumentation aller grenzüberschreitenden Datenübermittlungen innerhalb der Unternehmensgruppe sowie an Dienstleister und andere Geschäftspartner mit Sitz ausserhalb der EU/CH:
\n
\n\n
\n\n
Wenn personenbezogene Daten auf der Grundlage des EU-US Privacy Shield grenzüberschreitend übermittelt werden, sollten alternative rechtliche Mechanismen bestimmt werden, um solche Übermittlungen nach der DSGVO zu ermöglichen (z.B. SCC unter den vom EuGH festgelegten Bedingungen oder eine der rechtlichen Ausnahmeregelungen nach Art. 49 DSGVO). Verträge sollten entsprechend angepasst werden. Zudem sollte ein Plan erstellt werden, der alle Schritte, Verantwortlichkeiten und Fristen festlegt, einschliesslich der allfälligen Kündigung des EU-US Privacy Shield unter Beachtung der entsprechenden Benachrichtigungspflichten.
\n\n
\n\n
Wenn personenbezogene Daten auf der Grundlage der SCC (einschliesslich konzerninterner Datenübermittlungsvereinbarungen) grenzüberschreitend übermittelt werden, sollte der Datenexporteur gemeinsam mit dem Datenimporteur prüfen, ob die Rechtsvorschriften des Empfängerlands einen angemessenen Schutz der im Rahmen der SCC übermittelten personenbezogenen Daten nach EU-Recht gewährleisten. Insbesondere sollte geprüft werden, ob der Datenimporteur Gesetzen und Praktiken unterliegt, die den Datenzugriff durch öffentliche Behörden erlauben (wie z.B. nach Art. 702 FISA in den USA), und der Datenimporteur daher möglicherweise nicht in der Lage ist, den SCC nachzukommen. In diesem Fall sollte der Datenexporteur eine Datenschutz-Risikoeinschätzung durchführen, um die Wahrscheinlichkeit einer Offenlegung der Daten oder eines Zugriffs auf die Daten, die Datensensibilität, das Datenvolumen und die Aufbewahrungsfristen zu beurteilen, sowie zusätzliche, über die SCC hinausgehende Schutzmassnahmen in Betracht ziehen, wie beispielsweise vertragliche und technische Massnahmen wie Datenverschlüsselung im Transit und im Ruhezustand. Wenn solche zusätzlichen Massnahmen nicht möglich sind, sollte der Datenexporteur die Übermittlung personenbezogener Daten aussetzen oder beenden oder die zuständige Aufsichtsbehörde benachrichtigen, die jede weitere Datenübermittlung verbieten kann.
\n\n
\n\n
Wenn die Übertragung auf BCR beruht, sollte die gleiche Analyse wie bei den SCC durchgeführt werden.
\n\n
\n\n
Wenn die Übermittlung auf einer der gesetzlichen Ausnahmeregelungen gemäss Art. 49 DSGVO beruht, wie z.B. die ausdrückliche Einwilligung oder die Erforderlichkeit zur Erfüllung eines Vertrags, sind vorerst keine weiteren Schritte erforderlich.
\n\n
\n\n
\n
Die Analyse, das Ergebnis und alle unternommenen Schritte sollten ausführlich dokumentiert werden.
\n
\n\n
\n\n
\n
Überprüfung und Anpassung von Due-Diligence-Prozessen und Vertragsvorlagen:
\n
\n\n
\n\n
Um eine angemessene Konformitäts- und Risikobewertung durchführen zu können, sollte der Due-Diligence-Prozess und der Fragebogen zur datenschutzrechtlichen Bewertung von Dienstleistern überarbeitet und mit Fragen über die Existenz von Gesetzen und Praktiken zur Überwachung und zum Datenzugriff, denen der Datenimporteur unterliegt, ergänzt werden. Besondere Aufmerksamkeit sollte auch den internen Regeln und Verfahren des Datenimporteurs hinsichtlich der Behandlung von Anträgen von Behörden und der Benachrichtigung des Datenexporteurs gewidmet werden. Zudem sollten in Zukunft alle Datenimporteure, d.h. nicht nur Auftragsdatenverarbeiter, sondern auch Verantwortliche, evaluiert werden.
\n\n
\n\n
Die Vertragsvorlagen sollten bezüglich der grenzüberschreitenden Datentransfers überarbeitet werden, um die primären Verpflichtungen des Datenexporteurs/-importeurs aus den SCC sowie die Behandlung von Anträgen der Behörden auf Zugang zu personenbezogenen Daten hervorzuheben. Zudem sollte jeglicher Verweis auf das Privacy Shield Framework gelöscht werden.
\n\n
\n\n
\n
Dienstleistungsanbieter (Datenimporteure) können ihre Kunden unterstützen, indem sie die lokalen Gesetze gründlich analysieren, um die Angemessenheit des Schutzniveaus in Bezug auf die EU-Gesetze zu überprüfen und die Einhaltung der SCC zu gewährleisten. Ein solches Vorgehen kann auch dazu beitragen, die Wettbewerbsfähigkeit zu erhalten.
\n
\n\n
\n\n
\n
Einführung (oder Überarbeitung) interner Richtlinien und Verfahren, um grenzüberschreitende Datenübermittlungen im Einklang mit der DSGVO und dem Urteil des EuGH zu regeln.
\n
\n\n
\n\n
\n
Langfristig können Unternehmen erwägen, auf robustere Datentransfermechanismen umzusteigen, wie sie in Art. 46 DSGVO vorgesehen sind, z.B. von den EU-Aufsichtsbehörden genehmigte BCR (für Auftragsdatenverarbeiter und Verantwortliche), Verhaltenskodex oder Zertifizierungsmechanismen.
\n
\n\n
\n","datum":"03.08.2020","teasertext":"
Am 16. Juli 2020 verkündete der Gerichtshof der Europäischen Union (EuGH) sein Urteil in der Rechtssache C-311/18 — Data Protection Commissioner v. Facebook Irland und Maximillian Schrems (Schrems II). In diesem Fall ersuchte M. Schrems die Kommission, die Übermittlung seiner personenbezogenen Daten durch Facebook Irland an die in den USA ansässige Facebook Inc. zu verbieten oder auszusetzen, mit der Begründung, dass dieses Drittland kein angemessenes Schutzniveau gewährleiste. Dieses Urteil hat weitreichende Konsequenzen für jegliche Datenübermittlung aus der EU in Drittländer.
\n","preview":"","datei":[],"linkextern":""},{"id":179,"title":"Privacy by Design in Digital Health (auf Englisch)","slug":"privacy-by-design-in-digital-health","link":"/de/news/privacy-by-design-in-digital-health","titel":"Privacy by Design in Digital Health (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Introduction
\n\n
\n\n
The exponential growth of digital health solutions and products, such as software or internet-enabled devices, brings a range of benefits for patients, the health industry and the general public, from preventing new diseases, monitoring patient conditions, data analysis, personalised medicine to reducing health costs through more efficient processes.
\n\n
\n\n
To be effective, these technologies rely on the use of large amounts of data. Particular caution is needed when personal data are involved, as the processing of personal data, in particular health-related data, can pose significant risks to the privacy of data subjects and the security of personal data. It is therefore of utmost importance to implement the fundamental data protection principles as laid down in data protection laws, such as the EU General Data Protection Regulation (EU) 2016/679 of 27 April 2016 (GDPR), the EU directive on privacy and electronic communications (Directive 2002/58/EC of 12 July 2002) and applicable national data protection laws. In particular, principles such as data minimisation and transparency, as well as technical security measures such as pseudonymisation or encryption, must be embedded in the design, development, and use of such solutions. In short: privacy by design must be implemented.
\n\n
\n\n
With the outbreak of COVID-19 and the efforts to find fast digital solutions to contain the spread of the virus, in particular through so-called contact tracing apps, which should help to efficiently interrupt chains of infection, the concept of privacy by design has gained in importance and awareness. For such apps to be successful and effective, they must be designed in such a way that the privacy of the individual and the protection of his or her personal data is guaranteed, at least in Europe. People must be assured that they are in control of their data, that their data are secure and only used for well-defined purposes and that their privacy rights are respected. Public trust and acceptance is of paramount importance to encourage the use of such applications, where their use is voluntary.
\n\n
\n\n
In order to realise the benefits of digital health solutions, those responsible for the development and management of such solutions and data processing, such as healthcare companies or public authorities, must meet the expectations of individuals, gain and maintain their trust and respect their privacy. Privacy by design has become a critical factor in building and maintaining trust, competitiveness, and success in the marketplace.
\n\n
\n\n
The challenge is to find the right balance between the potential of digital health to improve health services on the one hand and the protection of the personal rights of patients and consumers on the other. All legitimate interests and objectives, including data protection, should be taken into account without unnecessary compromise. This approach requires creative solutions in technical and organisational respects.
\n\n
\n\n
This article examines the privacy aspects under the GDPR that need to be taken into account when designing digital health solutions and why this is important to fully exploit the potential of digital health. It also attempts to clarify the concept of privacy by design and to translate legal requirements into practical solutions, with a focus on mobile applications in the context of digital health.
\n\n
\n\n
2 Emerging digital health technologies
\n\n
\n\n
Digital health refers to the use of information and communication technologies (ICT) to improve the quality, efficiency, and management of healthcare. Examples of digital health technologies include telemedicine, health monitoring and care with robots and sensors; wearables, i.e. mobile sensors worn directly on the body that record and analyse physiological data such as blood pressure, temperature, pulse or blood sugar levels in real time; and more generally the Internet of Things (IoT), i.e. the networking of physical devices equipped with software, sensors and network connectivity to collect and exchange data. Another example are the so-called contact tracing apps mentioned above, which are highly topical at the time of writing, and which are being developed by various countries worldwide to combat the spread of COVID-19. These apps are designed to alert people who have been in proximity to an infected person for a certain period of time so that they can take appropriate action.
\n\n
\n\n
3 The concept of privacy by design
\n\n
\n\n
The concept of privacy by design (PbD) is a fundamental prerequisite for the effective implementation of data protection. In essence, PbD requires that controllers take into account the principles and requirements of data protection both in the design phase of systems, processes, products or services and throughout the life cycle of personal data and that they provide for appropriate technical and organisational measures (TOMs) to implement the data protection requirements and to protect the rights of data subjects. Controllers are required to be proactive and anticipate potential privacy-invasive events before they materialise. Privacy by default is a fundamental element of privacy by design. It requires the controller to implement appropriate TOMs to ensure that, by default, only personal data necessary for each specific purpose of processing are processed. PbD must be implemented in relation to the quantity of data collected, the scope of their processing, the period of their storage, and their accessibility.
\n\n
\n\n
While the concept of PbD as a good practice has long existed, it was introduced as a legal obligation in Art. 25 GDPR with substantial fines in case of failure. With this, the legislator wanted to emphasise that it is not enough to set standards, but that these standards must be implemented in an effective and verifiable manner. However, Art. 25 GDPR does not specify how this obligation should be implemented in practice.
\n\n
\n\n
The implementation of PbD requires an assessment of the organisational, process, or product-related risks as well as the privacy risks for data subjects. This assessment aims to determine the necessary measures to be integrated from the outset as part of these products, systems, or processes to meet data protection requirements and to protect the privacy of data subjects. Risks may include, for example, excessive collection and disclosure of personal data, processing beyond the initial purpose, unlawful processing, loss, destruction, or alteration of data. Such risk assessment, coupled with a conformity assessment, is required for any processing of personal data, regardless of the sensitivity of the data.
\n\n
\n\n
Only if the processing is likely to present a high risk to the rights and freedoms of the data subjects, the controller must carry out a data protection impact assessment (DPIA) according to Art. 35 GDPR. A DPIA is a more comprehensive assessment that goes beyond conformity assessment by assessing the remaining risks to individuals, taking into account the TOMs embedded in the design of the product, system, or process. If the residual risk is still considered to be high, the controller must take further risk mitigation measures or, if this is not possible, refrain from processing or consult the data protection authorities. A DPIA will regularly be required for digital health solutions where health-related data or other special categories of data are processed, or technologies are used that may involve new forms of data collection and use.
\n\n
\n\n
4 Implement privacy by design in practice
\n\n
\n\n
4.1 Who is legally responsible for implementing privacy by design?
\n\n
\n\n
According to Art. 25 GDPR, the controller must implement the concept of PbD. Manufacturers, developers and service providers that are not controllers are only encouraged in Recital 78 GDPR to take into account 'privacy by design' when developing, designing, selecting and using applications, services and products based on the processing of personal data and to ensure that controllers and processors can comply with their data protection obligations. In practice, manufacturers of intelligent devices and health application developers will have a keen interest in fully implementing the concept of \"privacy by design\" to remain competitive.
\n\n
\n\n
4.2 What does the concept of privacy by design require from the controller?
\n\n
\n\n
The controller must establish technical measures, such as, for example, pseudonymisation, access authorisations, and restrictions, user authentication, encryption, logging, securing system configurations, protection measures against malware and data loss, and physical protection measures.
\n\n
\n\n
Furthermore, the controller must take organisational measures that are necessary for a well-functioning data protection management. These measures may include, for example, the allocation of responsibilities for the effective implementation of data privacy requirements, the implementation of enforceable policies and procedures for handling and documenting data breaches and data subject access requests, risk management, third-party management, data transfer governance, documentation of processing activities, training and controls. Also, the controller must take appropriate measures to respond to a withdrawal of consent, to a request for rectification or erasure of personal data or the portability of data.
\n\n
\n\n
4.3 How must the technical and organisational measures be?
\n\n
\n\n
The TOMs must be adequate and appropriate to
\n\n
\n\n
\n
effectively implement data protection principles, such as data minimisation, lawfulness, transparency, confidentiality, purpose limitation, data integrity, storage duration, security, as well as the requirements concerning commissioned data processing and cross-border data transfers;
\n
integrate the necessary safeguards into the processing to meet the requirements of the GDPR; and
\n
protect the rights of data subjects.
\n
\n\n
\n\n
A measure is adequate if it takes into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing.
\n\n
\n\n
4.4 When must TOMs be implemented?
\n\n
\n\n
The controller must implement TOMs both at the time of determining the means of processing and during the processing itself.
\n\n
\n\n
4.5 What data protection aspects must be taken into account in digital health solutions?
\n\n
\n\n
First, it must be determined which laws and regulations are applicable, in particular, whether the GDPR is applicable. It should also be examined whether sector-specific codes of conduct, certification systems, regulatory decisions, or guidelines for the development of digital health products are applicable. Ethical considerations should also be taken into account.
\n\n
\n\n
Secondly, it is necessary to determine which parties are involved in the development, deployment, and use of the product and the respective roles of these parties, who is the controller (several parties may be joint controllers) and, where appropriate, who is a processor. The identification of the controller, i.e., the party which alone or jointly with others determines the means and purposes of the data processing, is essential to determine who is responsible and accountable for complying with data protection requirements under the GDPR.
\n\n
\n\n
The following section explains which data protection principles must be observed and how they can be implemented in practice, with a focus on the use of mobile health apps.
\n\n
\n\n
Proportionality and data minimization
\n\n
\n\n
Personal data must be adequate, relevant, and limited to what is necessary for the purposes for which they are processed. This means that apps and devices that store or process personal data should be set up in such a way that only the data necessary for the respective purpose or the proper functioning of the app or device are stored and processed.
\n\n
\n\n
Personal data are defined as any information relating to an identified or identifiable natural person. In the context of a mobile application, data relating to the device, such as location data or usage data, are also considered personal data. Pseudonymised data, meaning data that are processed in such a way that they can no longer be attributed to a specific data subject without the use of additional information that is kept separately and securely, are also classified as personal data. Only irreversibly anonymised data are not considered personal data and are therefore not subject to the GDPR (and other data protection laws).
\n\n
\n\n
The principle of data minimisation can be achieved in different ways, for example, by reducing the amount of personal data or by making it more difficult or impossible to assign the data to an individual.
\n\n
\n\n
The type and amount of data necessary for the identified purpose may vary depending on the application area of the product. If, for example, an app is only used for information purposes, the collection of personal data is usually not necessary or pseudonymised login data might be sufficient. However, if an app is to monitor health and, if necessary, interact with a doctor or other persons, considerably more data, especially identification and health data, may be required. In the case of a COVID-19 contact tracing application to alert people who have been in the vicinity of a positive tested person, proximity data collected using Bluetooth technology should be sufficient. Location data that can be used to track individuals are not necessary for this purpose, nor are other personal data. Anonymised or at least pseudonymised data should be sufficient.
\n\n
\n\n
Depending on the functionalities of the app and the purpose of processing, it must, therefore, be evaluated for each data set whether the data are necessary to fulfil the purpose or whether the purpose can be fulfilled with less data (reduction of the data volume) or pseudonymised/anonymised data (making identification more difficult or impossible). A distinction should also be made between mandatory and voluntary data, which can be provided additionally to use specific functionalities.
\n\n
\n\n
Further measures to minimise data can consist in preventing the linking of personal data collected via the product with personal data stored in other systems unless such linking is necessary for the purpose. Location data should not be collected and stored if a generic location area is sufficient for the application functionality.
\n\n
\n\n
A central question is also where the data should be stored, i.e., only on the user's terminal device or on a central server, and who should have access to the data. If the data are only stored on the mobile device, the user has full control over the data and access. However, if the data are stored on a central server, other people can have access over which the user has no control. This question is currently being hotly debated in connection with the development of a COVID-19 tracing app, whereby the proponents of a decentralised solution believe that this approach is more consistent with the principle of data minimisation.
\n\n
\n\n
Which approach is ultimately chosen depends on the type of the mobile health app and its purposes. With both models, appropriate TOMs must be taken to protect the data from unauthorised access and misuse.
\n\n
\n\n
Legal justification
\n\n
\n\n
The processing of personal data must be lawful and carried out in good faith and must have a legal basis, as set out in Art. 6 and 9 of the GDPR and the ePrivacy Directive. The ePrivacy Directive requires the user's consent for the storage of information or access to stored data on the user's equipment unless the storage and access are legally permitted under national law, or the storage and access are strictly necessary to provide a service explicitly requested by the user. The consent shall also be required for the use of non-essential cookies or similar technologies on users' equipment and for the processing of location data other than traffic data, provided that such data are not anonymised.
\n\n
\n\n
In health or medical applications collecting and processing special categories of a patient or consumer data, the processing of these data will regularly require the explicit consent of the data subject. Consent must be voluntary and specific to each functionality that serves different purposes. Consent must be based on prior information and, in the case of special categories of data, the use of cookies or location data, consent must be given explicitly and therefore through positive action, such as downloading the application and ticking a consent box. Also, controllers must have a procedure in place which, on the one hand, allows for easy withdrawal of consent and, on the other hand, ensures that in the event of withdrawal, the data collected will not be further processed.
\n\n
\n\n
Transparency
\n\n
\n\n
Personal data must be processed transparently. Comprehensive privacy notice about what personal data are processed, how they are processed, and what they are used for, as described in Art. 12-14 GDPR, must be made available to the data subjects before their data are processed. This notice must, if applicable, also contain information on the use of cookies or similar technology on the terminal equipment and location data, as well as methods for refusing to store such cookies or giving consent to the use of cookies and location data.
\n\n
\n\n
Data subjects should have full transparency and control over the processing of their data and understand what data are processed, why, by whom, where and for how long, and how they can exercise their privacy rights.
\n\n
\n\n
The privacy notice should be easily accessible to data subjects at any time, before the collection of personal data and throughout the processing, either within the device or through a link to a website. The notice should be easy to understand, where appropriate in different languages, and have a multi-layered structure in which the essential information is summarised in a first layer, possibly supported visually by symbols, and with further details in a second layer if the user wishes to know more. The product should also enable for changes to the privacy notice and should allow users to manage their profiles and update their privacy settings.
\n\n
\n\n
Confidentiality and access to personal data
\n\n
\n\n
Personal data must be kept strictly confidential and may only be provided or disclosed to individuals on a need-to-know basis to fulfil the legitimate purposes for which the information was collected.
\n\n
\n\n
It is essential to determine whether access to the data by persons other than the user, such as doctors, service providers, insurance companies or authorities, is necessary to fulfil the purposes for which the data are processed. Accesses to the data, devices, server, and network should be documented.
\n\n
\n\n
Among the key issues are: Can the user influence and manage these accesses directly through the product? Who enters the data, only the user of the product or other persons, such as a doctor or a pharmacist? Are any service providers involved in the storage or other processing of the data? How is access or sharing of the data secured? Are the data encrypted during transmission and in storage? Who should have access to what personal data and for what purposes? Are these persons obliged to maintain confidentiality? How is access controlled and restricted?
\n\n
\n\n
Purpose limitation
\n\n
\n\n
Personal data must be collected only for specified, explicit, and legitimate purposes and not further processed in a way incompatible with those purposes.
\n\n
\n\n
The purpose of the processing should be specific and explicit and communicated to data subjects at the time of collection. The functionalities of the app should be set up as such that personal data are only processed for the specific purpose that was identified. Access to servers should be limited to persons that are committed to processing the data for the specified purpose only. If the personal data are to be used for purposes other than those notified, the data should be made anonymous, unless there is another legal basis for this secondary use. In any case, the data subjects should be informed and, unless there is no other legal basis, their consent should be obtained.
\n\n
\n\n
Data quality
\n\n
\n\n
Personal data stored must be accurate and, where necessary, up to date; every reasonable step must be taken to ensure that inaccurate personal data are deleted or rectified without delay.
\n\n
\n\n
The controller must have mechanisms in place to ensure that the data are accurate at the time of collection and are not unlawfully modified after that. There must be a mechanism to correct or delete inaccurate data, possibly by the user of the application.
\n\n
\n\n
Data retention
\n\n
\n\n
Personal data must be kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed, unless regulatory or legal requirements require a longer or shorter retention period.
\n\n
\n\n
The controller must define a retention period for each data set, based on the purpose of the processing and, where appropriate, legal and regulatory retention periods. Mechanisms, including automatic solutions, where appropriate, and responsibilities for the effective erasure of the data must also be specified. If the data cannot be deleted, they should be made anonymous or, if this is not possible, pseudonymous.
\n\n
\n\n
Among the key issues are: Does the product allow for flexible data retention periods? Does the product enable the anonymization or deletion of data that is no longer needed? Is the data automatically deleted or anonymised after the retention period has expired? Is the data controller notified in advance by the system? Can users delete the data, and if so, how (e.g., by deactivating the app used)? Is there a retention and deletion concept?
\n\n
\n\n
Data security
\n\n
\n\n
Personal data must be processed in a manner that ensures appropriate security of the data, including protection against unauthorised or unlawful processing and accidental loss, destruction or damage, using appropriate TOMs. Such measures should encompass integrity and confidentiality, availability, resilience, and traceability and ensure a level of security appropriate to the risk.
\n\n
\n\n
Appropriate control access mechanisms and authentication measures should be embedded in the product infrastructure to detect and monitor unauthorised access to the data. Personal data should be encrypted on the device and, if stored on a server or shared with third parties, in transit and storage. Special attention is required if the data are stored in the cloud.
\n\n
\n\n
Privacy rights
\n\n
\n\n
Data subjects have a variety of privacy rights, including the right to information, the right of access, rectification and erasure, restriction of processing, data portability and the right to object to automated individual decision-making. They also have the right to complain with their supervisory authority if they feel that their rights are infringed, or their data are not appropriately protected. A process must be in place to respond to data subjects’ access requests and other privacy rights.
\n\n
\n\n
Among the key issues are: How can data subjects effectively exercise their rights? Does the product allow data subjects to exercise their rights directly through the app, in particular the right to access their data and correct it in case of inaccuracies or to delete the data from the mobile device by deleting the app? Are any rights restricted? How are rights such as data portability, deletion, or withdrawal of consent guaranteed?
\n\n
\n\n
Data processing by third parties and cross-border data transfers
\n\n
\n\n
Depending on the roles of the contributors in the development, management, and use of the app and the data processed, appropriate contractual obligations must be established to ensure data protection.
\n\n
\n\n
The controller must carry out a prior assessment of all data processors to ensure that they implement appropriate TOMs to ensure compliance with the data protection requirements and data subjects’ privacy rights.
\n\n
\n\n
If personal data are to be transferred to third parties outside the EEA in a country without a formal adequacy decision by the European Commission, adequate safeguards, such as EU standard contractual clauses, must be implemented to legitimise cross-border data transfers, unless a derogation as listed in Art. 49 GDPR applies, such as the explicit consent of the data subject.
\n\n
\n\n
For any cross-border data flow, the legal basis for such a transfer must be determined, and the necessary steps taken.
\n\n
\n\n
Accountability
\n\n
\n\n
The controller is responsible for ensuring compliance with the data protection principles and for providing proof of compliance with them. Appropriate processes, regular risk assessments, documentation, and reviews of the processing should be in place to support this obligation.
\n\n
\n\n
5 Conclusion
\n\n
\n\n
To fully exploit the benefits of digital health solutions and ensure their effectiveness, it is essential to embed fundamental data protection principles in the design of these solutions, taking into account organisational, process and product-related risks, as well as risks to the rights of data subjects.
\n\n
\n\n
Privacy by design is not only required by the GDPR and partly by laws of other countries outside the EEA but is a prerequisite for the effective and sustainable implementation of data protection, the basis for a well-functioning data protection management and a critical factor in achieving the necessary trust of the public, patients and consumers, public authorities, business partners and other stakeholders in such technologies.
\n","datum":"13.07.2020","teasertext":"
Die zunehmende Verwendung digitaler Technologien im Gesundheitsbereich, wie Software oder internetfähige Geräte, bringt eine Reihe von Vorteilen für Patienten, das Gesundheitswegen und die Allgemeinheit. Um wirksam zu sein, sind diese Technologien auf die Nutzung grosser Datenmengen angewiesen. Besondere Vorsicht ist geboten, wenn es um personenbezogene Daten geht, da die Verarbeitung personenbezogener Daten, insbesondere gesundheitsbezogener Daten, erhebliche Risiken für die Privatsphäre der betroffenen Personen und die Datensicherheit mit sich bringen kann. In diesem Artikel werden die Datenschutzaspekte untersucht, die bei der Entwicklung digitaler Gesundheitslösungen unter der DSGVO berücksichtigt werden müssen. Ausserdem erläutert er das Konzept von «Privacy by Design» und versucht, die rechtlichen Anforderungen in praktische Lösungen umzusetzen, wobei der Schwerpunkt auf mobilen Anwendungen im Gesundheitsbereich liegt. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":100,"title":"Warum sollten Unternehmen in Binding Corporate Rules investieren? (auf Englisch)","slug":"why-should-companies-invest-in-binding-corporate-rules","link":"/de/news/why-should-companies-invest-in-binding-corporate-rules","titel":"Warum sollten Unternehmen in Binding Corporate Rules investieren? (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Introduction
\n\n
\n\n
Article 47 of the EU General Data Protection Regulation (\"GDPR\") expressly recognizes Binding Corporate Rules (\"BCR\") as one of the means for the international transfer of personal data, both for controllers (covering personal data they control) and for processors (covering personal data they process on behalf of others based on a processing agreement). Before the GDPR came into force, BCR were recognized and approved by the current practice of the data protection authorities and the guidelines of the Article 29 Working Party (“Working Party”). Other countries outside of the EU, such as Switzerland, recognize the concept of BCR as well.
\n\n
\n\n
What is the practical significance of BCR for companies and why should companies invest in BCR? This article shall explore what BCR under the GDPR are, what needs to be considered when applying and implementing BCR and their benefits.
\n\n
\n\n
2 What are Binding Corporate Rules?
\n\n
\n\n
The GDPR defines the term “Binding Corporate Rules” in Art. 4 para. 20 as “personal data protection policies which are adhered to by a controller or processor established on the territory of a Member State for transfers or a set of transfers of personal data to a controller or processor in one or more third countries within a group of undertakings, or group of enterprises engaged in a joint economic activity”.
\n\n
\n\n
BCR are therefore one of the appropriate safeguards for the transfer of personal data within a group of undertakings, or group of enterprises engaged in a joint economic activity (“Group”) from the EEA to countries which do not provide an adequate level of data protection. In practice, BCR are a set of internal rules, standards and processes, such as codes of conduct, that regulate internal data management practices in a binding and consistent manner throughout the Group with the primary objective to facilitate the free movement of personal data within that Group while ensuring an effective level of data protection. BCR are, however, not intended to be used as a means for allowing cross-border data transfers to companies not being part of that Group.
\n\n
\n\n
The concept and content of the BCR have mainly remained the same under the GDPR, with some minor changes. One significant change is the extension of the group of applicants. While BCR were previously only applicable to groups of undertakings, they are now also open to groups of enterprises engaged in joint economic activities. The term \"group of undertakings\" is defined in Art. 4 para. 19 GDPR as \"controlling undertaking and its controlled undertakings\". However, the term \"group of enterprises engaged in a joint economic activity\" is not defined in the GDPR. The term is open for interpretations but may be interpreted as to include a group of independent organizations which have agreed to cooperate, such as joint ventures.
\n\n
\n\n
Also, the list of minimum requirements has been extended to include the contact details of each member of the Group, the description of the principles of privacy by design and privacy by default, the right not to be subject to profiling, the information obligations according to Art. 13 and 14 GDPR, and the details of the persons responsible for training and complaint procedures.
\n\n
\n\n
The Working Party provides in WP 256 (BCR for controllers) and WP 257 (BCR for processors) updated guidelines and very useful tables setting out the elements and principles that controllers and processors should state in their BCR, incorporating the new language in line with the GDPR and the necessary content mandated by Art. 47 GDPR and making a distinction between what must be included in the BCR and what must be presented to the competent supervisory authority in the BCR application.
\n\n
\n\n
BCR must comply with a whole range of requirements and must contain all elements as set out in Art. 47 para. 2 GDPR, including:
\n\n
\n\n
\n
The structure and contact details of the group of undertakings, or group of enterprises engaged in a joint economic activity and of each of its members;
\n
\n\n
\n\n
\n
The data transfers or set of transfers, including the categories of personal data, the type of processing and its purposes, the type of data subjects affected and the identification of the third country or countries in question;
\n
\n\n
\n\n
\n
Their legally binding nature, both internally and externally;
\n
\n\n
\n\n
\n
The application of the general data protection principles, in particular purpose limitation, data minimization, limited storage periods, data quality, data protection by design and by default, legal basis for processing, processing of special categories of personal data, measures to ensure data security, and the requirements in respect of onward transfers to bodies not bound by the BCR;
\n
\n\n
\n\n
\n
The rights of data subjects in regard of processing and the means to exercise those rights, including the right not to be subject to decision based solely on automated processing, including profiling, the right to lodge a complaint with the competent supervisory authority and before the competent courts, and to obtain redress and, where appropriate, compensation for a breach of the BCR;
\n
\n\n
\n\n
\n
The acceptance by the controller or processor established on the territory of a Member State of liability for any breaches of the BCR by any member concerned not established in the Union, whereby the controller and the processor shall be exempt from that liability, in whole or in part, only if it proves that that member is not responsible for the event giving rise to the damage;
\n
\n\n
\n\n
\n
How the information on the BCR, in particular on the provisions relating to the general data protection principles, the rights of the data subjects, and the liability for any breaches of the BCR is provided to the data subjects;
\n
\n\n
\n\n
\n
The tasks of any data protection officer designated in accordance with Art. 37 GDPR or any other person or entity in charge of monitoring compliance with the BCR as well as monitoring training and complaint handling;
\n
\n\n
\n\n
\n
The complaint procedures;
\n
\n\n
\n\n
\n
The mechanisms for ensuring verification of compliance with the BCR. Such mechanisms shall include data protection audits and methods for ensuring corrective actions to protect the rights of the data subject. Results of such verification should be communicated to the DPO or any other person in charge of monitoring compliance with the BCR and to the board of the controlling undertaking, and should be available upon request to the competent supervisory authority;
\n
\n\n
\n\n
\n
The mechanisms for reporting and recording changes to the BCR and reporting those changes to the supervisory authority;
\n
\n\n
\n\n
\n
The cooperation mechanisms with the supervisory authority to ensure compliance by any member of the group of undertakings, or group of enterprises engaged in a joint economic activity, in particular by making available to the supervisory authority the results of verifications;
\n
\n\n
\n\n
\n
The mechanisms for reporting to the competent supervisory authority any legal requirements to which a member of the group of undertakings, or group of enterprises engaged in a joint economic activity is subject in a third country which are likely to have substantial adverse effect on the guarantees provided by the BCR; and
\n
\n\n
\n\n
\n
The appropriate data protection training to personnel having permanent or regular access to personal data.
\n
\n\n
\n\n
3 What do companies commit themselves to when signing the BCR?
\n\n
\n\n
By signing the BCR, companies undertake to comply with and implement the rules, in particular to:
\n\n
\n\n
\n
set up a procedure for managing and monitoring the implementation of the BCRs;
\n
\n\n
\n\n
\n
make the BCR binding on employees;
\n
\n\n
\n\n
\n
make the rights of data subjects easily accessible, as set out in the BCR, e.g. via the intranet and the Internet;
\n
\n\n
\n\n
\n
introduce disciplinary procedures for staff who infringe the BCRs;
\n
\n\n
\n\n
\n
comply with the data protection principles as set out in the BCR;
\n
\n\n
\n\n
\n
provide basic training for all employees and specific training for employees with regular access to personal data;
\n
\n\n
\n\n
\n
carry out regular compliance assessments on data protection to ensure the effective application of the BCR;
\n
\n\n
\n\n
\n
establish a procedure to ensure adequate handling of complaints;
\n
\n\n
\n\n
\n
accept liability for any breach of its obligations under the BCR;
\n
\n\n
\n\n
\n
cooperate with other Group companies and support them in dealing appropriately with inquiries from supervisory authorities or other authorities as well as from data subjects; and
\n
\n\n
\n\n
\n
cooperate with and allow audits by the relevant regulatory authorities.
\n
\n\n
\n\n
4 What should organizations consider before applying for BCR?
\n\n
\n\n
The use of BCR as an appropriate safeguard for international data transfers from the EEA requires the approval of the competent supervisory authority in the relevant jurisdiction following the consistency mechanism set out in Art. 63 and 64 GDPR. The competent supervisory authority will approve the BCR under the condition that:
\n\n
\n\n
\n
BCR are legally binding and enforceable on the undertakings concerned;
\n
\n\n
\n\n
\n
BCR expressly confer on the data subjects’ enforceable rights concerning the processing of their personal data; and
\n
\n\n
\n\n
\n
BCR comply with the minimum information requirements set out in Art. 47 para. 2 GDPR.
\n
\n\n
\n\n
Before applying for BCR approval, an organization should carefully consider and answer some key questions:
\n\n
\n\n
What does the company want to achieve with the approved BCR?
\n\n
\n\n
Is the only objective to facilitate the free flow of personal data within the Group? If so, has the organization considered alternatives, if any, to achieve this objective, such as concluding an intra-group data transfer agreement (“IGDTA”)? Alternatively, is the company's goal, besides safeguarding cross-border data transfers, also to achieve and demonstrate accountability and commitment to responsible data use? If so, the organization should assess whether BCR are the right approach or whether there are other options such as certification or a code of conduct, which might be more suitable for achieving the interests of the organization.
\n\n
\n\n
Which BCR should be implemented?
\n\n
\n\n
The organization must determine if it wants to apply for BCR for controllers or BCR for processors, or both. Depending on that decision, the appropriate requirements must be fulfilled.
\n\n
\n\n
What shall be the scope of the BCR?
\n\n
\n\n
Shall the BCR only cover personal data transferred from the EEA within the Group or shall they cover all processing of personal data within the Group? This last option would include any data and go far beyond the legal requirements extending the liability and privacy rights. This extension is ultimately a decision that each organization must take and may be appropriate for organizations that have decided to establish the same set of rules, standards and rights throughout the whole organization, irrespective of the jurisdiction and legal requirements. The organization must also determine if it wants to cover all personal data or limit the BCR to only a set of data such as HR or customer data. Finally, the organization must determine if all members of the Group shall be bound by the BCR or only a selected number of companies.
\n\n
\n\n
Which supervisory authority should be the lead authority for the BCR (“BCR Lead”)?
\n\n
\n\n
The BCR Lead is the authority that acts as the single point of contact with the applicant organization during the authorization procedure and the application process in its cooperation phase. The BCR Lead may differ from the \"one-stop-shop\" lead supervisory authority according to Art. 56 GDPR, which is mainly involved in handling data breaches and investigatory or enforcement activities in cross-border processing operations within the EU. The organization applying for BCR authorization must justify the reasons why a particular supervisory authority should be considered as the BCR Lead. The criteria for such justification are set out in WP 263:
\n\n
\n\n
\n
The location of the Group’s European headquarters;
\n
\n\n
\n\n
\n
The location of the company within the Group with delegated data protection responsibilities;
\n
\n\n
\n\n
\n
The location of the company which is best placed (in terms of the management function, administrative burden, etc.) to deal with the application and to enforce the BCR in the Group;
\n
\n\n
\n\n
\n
The place where most decisions in terms of the purposes and the means of the processing (i.e. transfer) take place; and
\n
\n\n
\n\n
\n
The member state within the EU from which most or all transfers outside the EEA will take place.
\n
\n\n
\n\n
For companies with their head office or principal place of business in the EU, the justification is quite simple. However, how should companies with their registered office outside the EU and without a principal place of business in the EU choose the appropriate supervisory authority and justify their choice? What arguments could be put forward if there is no Member State within the EU from which most or all transfers are made outside the EEA, but such transfers are roughly the same between all entities in the EU? In this case, the organization may delegate responsibilities to the Group company that is best placed to process the application for BCR on behalf of the Group. This entity should be located in one of the most important countries for the Group with a strong presence and at the same place as the chosen supervisory authority.
\n\n
\n\n
Once the organization has selected the BCR Lead based on the criteria mentioned above, it will submit its application to that supervisory authority. It should be noted, however, that the selected supervisory authority is not obliged to accept the choice if it believes that another supervisory authority is more suitable to be the BCR Lead, in particular taking into account the workload and number of pending BCR applications. The requested supervisory authority will share the application with all concerned supervisory authorities to make a final decision on which supervisory authority is appointed as BCR Lead.
\n\n
\n\n
It is advisable that the organization contacts the selected supervisory authority before applying to check whether the supervisory authority is, in principle, willing to act as BCR Lead or whether there may be objections from the supervisory authority, for example, due to lack of resources to deal with the application in a timely manner.
\n\n
\n\n
What should the liability system look like?
\n\n
\n\n
Art. 47 para. 2f requires the acceptance by the controller or processor established on the territory of a Member State of liability for any breaches of the BCR by any member concerned not established in the Union. WP 256 and WP 257 provide that, where it is not possible for a Group with particular corporate structures to impose on a specific entity to take all the responsibility for any breach of the BCR outside of the EU, it may provide that every BCR member exporting data out of the EU on the basis of the BCR will be liable for any breaches of the BCR by the BCR member established outside the EU which received the data from this EU BCR member. Will it be acceptable for the BCR Lead to introduce an alternative liability system in line with the Standard Contractual Clauses? If not, which Group company could take responsibility? What are the options? Clarification of this issue is crucial, especially for companies based outside the EU which do not have a main establishment in the EU. For some organizations, it may not be feasible to allocate responsibility for the payment of damages to a local entity as a result of a breach of the BCR by a Group company outside the EU.
\n\n
\n\n
What is the implementation status of the data privacy management program within the organization?
\n\n
\n\n
Has the organization already implemented global standards, policies and procedures, and if so, what is the maturity level at the corporate level and throughout the organization? Where are potential gaps and risks? Depending on the groundwork done and the maturity level of the data protection management program, the BCR approval process may take longer or shorter.
\n\n
\n\n
Is the buy-in of key stakeholders secured?
\n\n
\n\n
Do key stakeholders, from executive management to key country organizations and functions, offer their buy-in to the process? Stakeholder support requires their awareness and understanding of the need and benefits of implementing BCR, the commitments that each business unit and function must make with BCR approval, and the expectations placed in them. Preliminary discussions and presentation of the business case with these stakeholders are therefore an essential step before applying for BCR.
\n\n
\n\n
Are there sufficient resources and expertise to manage the approval and implementation of BCR?
\n\n
\n\n
Is there a team in place to develop the BCR, collect all relevant information, involve the relevant functions, discuss with the BCR Lead and manage the communication and implementation of the BCR across the organization? This team may consist of a leader and project manager as well as contributors to critical functions and most important markets. A proper functioning internal team is crucial to a smooth approval process and implementation throughout the organization. For smaller companies with fewer resources and expertise in data protection and project management, the involvement of external experts should be considered.
\n\n
\n\n
5 What should organizations consider once BCR approval is obtained?
\n\n
\n\n
The approval of the BCR is an essential step in the whole process. However, the BCR have no practical effect if not correctly implemented throughout the Group. Therefore, in parallel to the approval process, it is crucial that the organization that is responsible for the implementation of the BCR puts in place a concrete and enforceable communication and implementation plan with responsibilities and reasonable timelines. Here are some suggestions as to what such a plan should at least contain:
\n\n
\n\n
A communication plan that sets out who should inform whom, how, when and about what during the whole process. When applying for BCR approval, all Group companies and functions at the corporate and local level should be informed of the content and impact of the BCR, in particular their obligations, and of the progress of the BCR approval process. They should also be informed of the steps they need to take before approval to best prepare for the implementation of the BCR. Throughout the process, it is also advisable to address possible problems, questions and concerns to ensure the broadest possible support and to prevent serious issues or concerns from arising following the approval of the BCR. In some countries, works councils must also be informed or consulted, and finally, once approved and implemented, all employees who regularly process personal data must be informed and trained. Clear roles and responsibilities must be assigned to ensure appropriate communication at each level of the organization.
\n\n
\n\n
An implementation plan that is addressed to those functions and individuals responsible for implementing the privacy management program and the BCR, in practice the data protection officers, managers or champions, and outlines what needs to be done, when and how. The steps may include the preparation by adopting the Group privacy policy framework and implementing the data protection management program at the local level, signing the BCR and making them binding upon employees, training employees, verifying compliance with the BCR and handling complaints.
\n\n
\n\n
Effective BCR require the establishment of an organization with responsible persons at corporate and local level to implement the BCR and monitor compliance. A person at corporate level should be appointed to maintain an updated list of BCR members, monitor the state of implementation and any changes, and report annually to the supervisory authority.
\n\n
\n\n
6 Why should organizations invest in BCR?
\n\n
\n\n
In practice, many companies have concluded so-called intra-group data transfer agreements (“IGDTA”) covering the cross-border transfer of personal data within their Group. So why should companies go through the effort of implementing BCR when they can achieve the same goal with an IGDTA? Companies with an IGDTA meet the legal requirements for cross-border data transfer. However, they may not benefit from the impact of BCR, which significantly increase awareness and understanding of privacy requirements within the organization and establish accountability for compliance with data protection requirements in each function and business unit at corporate and local levels throughout the organization. Also, the effort required to create an IGDTA that includes the evaluation of all types of data flows, categories of personal data, purposes and safeguards, as well as the recipients of the data, the documentation of this information, the possible translation into the local language and the signing of contracts by all affiliates, should not be underestimated. It requires the involvement of all business units and functions at global and local levels. At the same time, the IGDTA often remains in a drawer after signing and is never considered again. Rarely will companies implement an IGDTA by establishing appropriate policies, procedures, processes and training.
\n\n
\n\n
Organizations that develop and implement BCR regularly aim at achieving an appropriate data protection governance structure with uniform standards and processes across the enterprise and not only at transferring their data legitimately within the Group. With the approval of the BCR by the supervisory authorities, organizations also want to show that they not only take data protection seriously, but also effectively implement the requirements in the company and assume responsibility for compliance with data protection.
\n\n
\n\n
BCR are based on a comprehensive and effective data protection management program with all the elements required to demonstrate accountability. These elements include:
\n\n
\n\n
\n
A governance structure with leadership and oversight of the data protection program;
\n
\n\n
\n\n
\n
A policy framework with policies and procedures to ensure fair and responsible processing of personal data;
\n
\n\n
\n\n
\n
Transparency through appropriate communication to data subjects;
\n
\n\n
\n\n
\n
Risk assessment and management at the program and data processing level;
\n
\n\n
\n\n
\n
Awareness raising and training of employees and others who process personal data;
\n
\n\n
\n\n
\n
Monitoring compliance with the data protection program and verification of its effectiveness through regular self-assessments and internal or external audits; and
\n
\n\n
\n\n
\n
Processes to adequately respond to data subjects' rights, complaints and inquiries, as well as privacy incidents and to enforce compliance with internal rules.
\n
\n\n
\n\n
Organizations subject to the GDPR and other stringent data protection acts must establish a comprehensive data protection management program including all the elements as listed above to ensure compliance with the applicable requirements and responsible data use. With the implementation of such a privacy management program organization are ready to consider applying for BCR approval in order to benefit from a valid data transfer mechanism while increasing their commitment to privacy within the company and promoting a culture of responsible data use.
\n\n
\n\n
To obtain approval of the BCR and ensure compliance with the commitments that are made with the application, the data privacy management program must, however, include specific procedures and processes. The organization must assign responsibilities for the implementation of the BCR to each BCR member, in particular for binding the company and its employees to the BCR and for publishing notices. It must further establish a complaint handling process, develop awareness-raising and training plans and have a mechanism to implement these plans, such as the introduction of regular e-learning for all employees and tailor-made training for specific functions and persons with data protection responsibilities. The organization must also establish an audit framework and a program to ensure that internal or external accredited auditors regularly verify compliance with the BCR. A mechanism must also be put in place to track all changes and inform BCR members and the supervisory authority. A list of BCR members must be maintained and made available to all members who are required to inspect that list before transferring personal data across borders.
\n\n
\n\n
BCR are ultimately a formalization and publication of the data protection management program. At the same time, they are a mechanism for demonstrating accountability to regulators, business partners, customers and individuals and integrating data protection and security into the company's culture. Processors also gain an immediate competitive advantage compared to other service providers that do not have BCR. The benefits of BCR are apparent and should be considered by any multinational company with cross-border data flows.
\n\n
\n\n
7 Conclusions
\n\n
\n\n
BCR are not only a sustainable legal basis for data transfer but also a system that enables companies with approved BCR to be transparent to regulators, customers, consumers and business partners by disclosing the company's policies and procedures on how they process and secure personal data. At the same time, BCR help organizations demonstrate that they take data protection seriously and that they have adopted appropriate data management practices to ensure compliant and responsible data processing throughout the Group. By implementing BCR, organizations affirm their responsibility to comply with legal requirements and regularly go even beyond by implementing common standards and rights for individuals across the Group. BCR help to further improve the quality and maturity of the Group's privacy management program by fostering a culture of internal compliance and accountability and strengthening the overall trust of individuals, customers, business partners and regulators.
\n\n
\n\n
Implementing BCR brings a whole range of benefits not only for the Group itself but also for the data subjects and the supervisory authorities. The effort involved in the approval and implementation process pays off in any case, measured by the advantages for multinational companies, large or small, which stand for the legally compliant and responsible handling of personal data. At the same time, and as further motivation for companies to invest in BCR, it would be desirable for supervisory authorities to formally recognize BCR as an accountability system beyond a data transfer mechanism, along with certifications and codes of conduct, and to find ways to further speed up the approval process.
\n\n
\n","datum":"30.06.2019","teasertext":"
Welche praktische Bedeutung haben Binding Corporate Rules (BCR) für Unternehmen, und weshalb lohnt es sich, in BCR zu investieren? Dieser Artikel erklärt, was BCR unter der DSVGO sind, welche Vorteile sie bringen und worauf bei der Implementierung von BCR geachtet werden muss. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":157,"title":"Umsetzung von Privacy by Design in der Praxis (auf Englisch)","slug":"umsetzung-von-privacy-by-design-in-der-praxis-auf-englisch","link":"/de/news/umsetzung-von-privacy-by-design-in-der-praxis-auf-englisch","titel":"Umsetzung von Privacy by Design in der Praxis (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Implementing privacy by design in practice
\n\n
\n\n
1 Introduction
\n\n
\n\n
Data protection has become increasingly important in recent years. Not only have the EU and many countries around the world revised their data protection laws and introduced stricter rules to protect the rights of data subjects and significant sanctions for non-compliance with the law. The awareness and expectations of individuals, such as consumers, patients, employees, service providers and business partners, as well as public authorities, have also increased significantly. While until a few years ago data protection was hardly on the priority list of many companies and hardly any resources were spent on implementing the legal requirements, most companies have realized since the introduction of the EU General Data Protection Regulation (GDPR) that data protection is a serious issue.
\n\n
\n\n
The reason for the increased sensitivity to data protection is not only the threat of sanctions and the loss of reputation in the event of a breach of data protection regulations. Companies have understood that they can only take full advantage of new technologies such as Blockchain, Machine Learning, Artificial Intelligence, Internet of Things and Mobile Apps if they meet individuals' expectations, maintain their trust and respect their privacy. Today, data protection is no longer seen as just a compliance or information security issue, but as an essential factor in building and maintaining trust, competitiveness and success in the marketplace.
\n\n
\n\n
Organizations must know and foresee their risks and take appropriate measures to eliminate them, reduce them to an acceptable level or manage them. To this end, organizations must, first of all, know what personal data they store and process, in which business areas, in which systems and for what purposes. This knowledge is the fundamental prerequisite for active risk and data protection management.
\n\n
\n\n
Before processing personal data, companies must take into account the data protection aspects and principles as well as possible restrictions and risks in advance and take appropriate risk-minimizing measures. Such an assessment is necessary, for example, before the introduction of a new data-processing system or a health app or before the storage of particularly sensitive data in a cloud, the introduction of a monitoring system in the company or the outsourcing of data processing to a service provider in a country outside the EEA or Switzerland. With this approach, the company can not only ensure compliance with legal requirements, but also make strategic and operational decisions in advance and efficiently implement business processes. This can include, for example, storing data on servers in Switzerland instead of in the USA or purchasing software with integrated data protection principles. The company can also take the necessary steps to ensure that its privacy policies and applicable laws are implemented.
\n\n
\n\n
This procedure is nothing more than “privacy by design.”
\n\n
\n\n
2 Privacy by design: a new obligation for controllers
\n\n
\n\n
The EU General Data Protection Regulation (GDPR) has introduced a legal obligation for controllers referred to as “data protection by design and by default.” This principle requires the controller to implement appropriate technical and organizational measures designed to implement data protection principles into the processing of personal data in an effective manner. Failures to comply with this obligation are subject to significant fines following Art. 83 GDPR.
\n\n
\n\n
Further laws have introduced the concept of privacy by design, such as the Draft Swiss Federal Act on Data Protection, published on September 15, 2017 (D-FADP)1 or the new Indian Personal Data Protection Bill which was published in 2018.2 The concept has further been introduced, although not explicitly, in the new Brazilian General Data Protection Law (Lei Geral de Proteção de Dados, LGPD) which will come into effect in early 2020.3
\n\n
\n\n
The concept of privacy by design is a fundamental requirement for the effective implementation of data protection. Privacy by design essentially requires controllers to take into account the privacy principles and requirements both, at the design stage of any IT system and technology, business practice, service or product and throughout the whole life cycle of the personal data, and to embed appropriate technical and organizational measures to implement the data protection requirements and to protect the rights of data subjects.
\n\n
\n\n
Although implementing data protection by design has become a new obligation under the GDPR, the concept is not new. It had existed for a long time as best practice and served as a practical approach to those organizations that had implemented data protection principles before the GDPR was even drafted.
\n\n
\n\n
The concept was already indirectly considered in EU Directive 95/464 and then introduced in 2009 as “Privacy by Design” by Ann Cavoukian, at that time the Information and Privacy Commissioner of Ontario, Canada, building on seven basic principles5:
\n\n
\n\n
Be Proactive, not Reactive; Preventative not Remedial: Being proactive and preventative anticipates and prevents privacy invasive events before they happen and privacy risks before they materialize.
\n\n
\n\n
Privacy as the Default: Privacy, in particular, transparency, data minimization, purpose limitation, confidentiality and data retention, is built into filing systems and business processes by default, automatically protecting personal data without the need for the data subjects to become active.
\n\n
\n\n
Privacy Embedded into Design: Privacy is embedded into the design and architecture of IT systems and business practices in a holistic and integrative way becoming an essential component of the core functionality being delivered. This means that privacy is integral to the system, without diminishing its functionality.
\n\n
\n\n
Full Functionality – Positive-Sum, not Zero-Sum: All legitimate interests and objectives, and not only the privacy goals, shall be accommodated without unnecessary trade-offs. Creative solutions shall be found that enable multifunctionality.
\n\n
\n\n
End-to-End Security – Lifecycle Protection: Personal data shall be secured, depending on their level of sensibility, from the collection throughout the entire lifecycle, by strong technical and organizational measures such as appropriate encryption, strong access controls and logging methods.
\n\n
\n\n
Visibility and Transparency: Visibility and transparency about the processing operations are essential to establishing accountability and trust.
\n\n
\n\n
Respect for User Privacy: The privacy of individuals should remain at the center of the interest and individuals should be offered measures such as strong privacy defaults, appropriate notice, and empowering user-friendly options.
\n\n
\n\n
Privacy by design was finally recognized by the 32nd International Conference of Data Protection and Privacy Commissioners in 2010 as “an essential component of fundamental privacy provisions6” and can also be found in various other documents, such as the FDPICs guide to technical and organizational measures for data protection of 2015.7 A similar concept, “Security by Design” follows the same approach and can be found in standards such as ISO/IEC/27001.
\n\n
\n\n
By introducing the concept of privacy by design as a legal obligation, the legislator ultimately wants to make it clear that it is not enough to set standards, but that these standards must be implemented effectively and verifiably. The principle applies to the entire processing of personal data, whether in the development and implementation of new business processes, systems, services or products that process personal data in any way.
\n\n
\n\n
3 How to implement privacy by design in practice?
\n\n
\n\n
3.1 What does Article 25 GDPR say?
\n\n
\n\n
Article 25 GDPR describes the concept of privacy by design and covers the following questions:
\n\n
\n\n
\n
Who is obliged to implement privacy by design? The controller. Manufacturers of products and applications as well as service providers are only encouraged to consider privacy by design in recital 78 GDPR. In practice, however, manufacturers and service providers will have a keen interest in implementing the concept to remain competitive.
\n
\n\n
\n\n
\n
What needs to be done? The controller must implement technical and organizational measures, so-called TOMs, such as the pseudonymization of personal data.
\n
\n\n
\n\n
\n
How must the TOMs be? They must be adequate8 and appropriate to implement data protection principles such as data minimization effectively and to integrate the necessary safeguards into the processing to meet the requirements of the GDPR and to protect the rights of data subjects.
\n
\n\n
\n\n
\n
When must TOMs be implemented? Both at the time of determining the means for processing and during the processing itself.
\n
\n\n
\n\n
Article 25 GDPR does, however, not specify how this obligation is to be implemented in practice.
\n\n
\n\n
The mention of pseudonymization in Art. 25 GDPR can only be understood as an example of a technical measure. Further technical measures, such as access authorizations and restrictions, user authentication, access restrictions, encryption, logging, secure system configurations, protective measures against malware and data loss, physical protective measures, as well as a technical implementation of the right of objection and the correction or deletion of data or data portability must also be considered. Article 32 GDPR (and in Switzerland Art. 7 FADP) must be observed.
\n\n
\n\n
Furthermore, organizational measures must also be taken. These include, for example, policies, guidelines, instructions and manuals, records of processing activities, documentation of data breaches and data protection impact assessments, contracts with third parties and processors, training and controls, meaning all the elements that are necessary for a well-functioning data protection management system.
\n\n
\n\n
The technical and organizational measures must be suitable for implementing the data protection principles and safeguarding the rights of the data subjects, whereby data minimization is again only mentioned as one example. Of course, all other principles, such as lawfulness, transparency, confidentiality, purpose limitation, data integrity, storage duration and security, as well as the requirements concerning commissioned data processing and cross-border data transfers must also be taken into account.
\n\n
\n\n
3.2 How can Article 25 GDPR be implemented in practice?
\n\n
\n\n
One effective way to implement privacy by design in practice is to build a data management and risk assessment program with responsibilities and a process to identify systematically, evaluate, address and mitigate potential privacy and security risks associated with the collection and processing of personal data. The seven best practices principles described in Chapter 2 can serve as guidance for the implementation of data protection by design in the company. An effective data management and risk assessment program should include the following elements:
\n\n
\n\n
3.2.1 Data Protection Management System (Fig.1)
\n\n
\n\n
\n
A documented commitment by management to establish and enforce high standards of data protection for the company with the aim of integrating data protection into the corporate culture and embedding the data protection principles in the design and implementation of corporate policies, data protection management systems, business practices, services and products.
\n
\n\n
\n\n
\n
The appointment of a data protection advisor and allocation of responsibilities at all levels of the organization, including management, business units and functions, for the effective implementation of data protection requirements.
\n
\n\n
\n\n
\n
The establishment of a data protection framework with enforceable data protection policies and guidelines that attach appropriate importance to data protection and regulate the collection, processing, transfer, storage and deletion of data, as well as mechanisms to monitor implementation and compliance with standards and rules.
\n
\n\n
\n\n
\n
The application of appropriate processes to ensure that data protection principles and requirements are adequately taken into account and integrated into data processing procedures and thus the principle of privacy by design is lived.
\n
\n\n
\n\n
\n
The introduction of records of processing activities.
\n
\n\n
\n\n
\n
Risk management with compliance checks and, where appropriate, data protection impact assessment.
\n
\n\n
\n\n
\n
Third-party management and data transfer governance.
\n
\n\n
\n\n
\n
Regular and documented awareness campaigns and performance of employee training.
\n
\n\n
\n\n
\n
Regular and documented monitoring and controls through self-assessments and audits to verify the effective implementation of the data protection management program and compliance with legal requirements and internal policies and directives.
\n
\n\n
\n\n
3.2.2 Processes
\n\n
\n\n
The processes, as mentioned above, include the following elements:
\n\n
\n\n
\n
The allocation of responsibilities in the relevant functions, such as Procurement, Legal and IT, which, as “gatekeepers,” ensure that the processes are adhered to.
\n
\n\n
\n\n
\n
The identification of privacy risks relating to systems, websites, apps, business processes or products at the time of the design and throughout the lifecycle of the data, from collection to disposal.
\n
\n\n
\n\n
\n
The documentation of the data processing activities (inventory).
\n
\n\n
\n\n
\n
The performance of compliance and risk assessments and, where appropriate, DPIAs before personal data is collected and stored in systems, transferred or otherwise processed for business purposes of anticipating risks and adverse effects for the individuals concerned and to determine corrective actions.
\n
\n\n
\n\n
\n
The implementation of the identified measures.
\n
\n\n
\n\n
3.2.3 Risk Management
\n\n
\n\n
The conformity and risk assessment of data processing procedures is essential in the privacy by design process and answers questions such as:
\n\n
\n\n
\n
Is the purpose of the processing specifically described? How is it ensured that the data is not processed for other purposes?
\n
\n\n
\n\n
\n
What is the legal basis for the processing of personal data? Is the consent of the data subjects required and, if so, how should it be obtained and documented? How can a withdrawal of consent be asserted and how is it handled and documented? If the controller has a legitimate business interest, were the interests of the controller weighed against the interests of the data subjects? Has this balancing test of interests been documented?
\n
\n\n
\n\n
\n
Are all intended personal data necessary to fulfill the purpose or can specific data sets be omitted if necessary? Can the purpose also be accomplished with anonymous, pseudonymous or simply less data?
\n
\n\n
\n\n
\n
Are the systems, websites, apps, business processes and products which store or process personal data, and which are developed or purchased by the company set up in such a way that only the necessary data for the purpose in question is stored and processed? How is the accuracy of the data ensured?
\n
\n\n
\n\n
\n
Who should have access to which personal data and for what purposes? Is the group of people who should have access to the data defined and documented? Are these persons obliged to maintain confidentiality? How is access controlled and restricted?
\n
\n\n
\n\n
\n
Have processors, if any, been audited to ensure that they can comply with data protection requirements?
\n
\n\n
\n\n
\n
Are data processing agreements and other arrangements in place, where necessary, to govern the relationship with third parties?
\n
\n\n
\n\n
\n
Is personal data accessed from abroad or transferred abroad? If so, have suitable legal measures been taken and documented to legitimize the data transfer? How are the measures implemented and compliance monitored?
\n
\n\n
\n\n
\n
Are all necessary security measures planned and, if necessary, already implemented?
\n
\n\n
\n\n
\n
What rights do the data subjects have? Are there any restrictions? How is it ensured that data subjects could exercise their rights effectively? Who is responsible for responding to data subjects requests? How are rights such as data portability, deletion or revocation of consent guaranteed?
\n
\n\n
\n\n
\n
How long should personal data be stored and processed? Is there a retention and deletion concept?
\n
\n\n
\n\n
\n
Are the data subjects informed about the processing of their personal data or is notice planned and how is it to be carried out? Is the data protection notice easily understandable and accessible?
\n
\n\n
\n\n
\n
What technical and organizational measures are expected to secure the data and how are these measures to be implemented, verified and controlled?
\n
\n\n
\n\n
\n
What security measures are taken to avoid security incidents? What is the process in the event of a security incident?
\n
\n\n
\n\n
4 Conclusion
\n\n
\n\n
Consistent and sustainable compliance with data protection requires the strategic and conceptual integration of data protection principles in all business practices, in the organizational structure, in the development of rules, IT systems and products. It requires active cooperation between Business, Information Security / IT and Legal / Data Protection.
\n\n
\n\n
The concept privacy by design is not new and has been considered as best practice for years. New is the inclusion of the concept in the GDPR as a legal obligation for controllers, subject to sanctions if violated.
\n\n
\n\n
Privacy by design is, however, not only a legal obligation but also a fundamental prerequisite for the effective and sustainable implementation of data protection and the basis for a well-functioning data protection management.
\n\n
\n\n
\n\n
[1]Art. 6.1, 2 D-FADP: Data Protection by Design: The controller must set up technical and organizational measures in order for the data processing to meet the data protection regulations and in particular the principles set out in Art. 5 (general principles of lawfulness, proportionality, purpose limitation, data minimization, transparency, retention, and quality). It considers this obligation from the planning of the processing.
\n\n
The technical and organizational measures must be appropriate in particular with regard to the state of the art, the type and extent of processing, as well as the risks that the processing at hand poses to the personality and the fundamental rights of the data subjects.
\n\n
Art. 6.3 D-FADP: Data Protection by Default: The controller is additionally bound to ensure through appropriate predefined settings that the processing of the personal data is limited to the minimum required by the purpose, unless the data subject directs otherwise.
[4]Recital 46 Directive 95/46: Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected.
\n\n
\n\n
[5] Privacy by Design: The 7 Foundational Principles, Implementation and Mapping of Fair Information Practices, from Ann Cavoukian, Ph.D.
\n\n
\n\n
[6] Resolution on privacy by design: https://icdppc.org/document-archive/adopted-resolutions/
[8] Article 25.1 GDPR: “Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing.”
\n","datum":"25.03.2019","teasertext":"
Die EU-Datenschutz-Grundverordnung (DSGVO) führte das Konzept von «Privacy by Design und by Default» oder «Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen» als gesetzliche Verpflichtung für Verantwortliche ein. Gemäss diesem Konzept müssen Verantwortliche geeignete technische und organisatorische Massnahmen treffen, um die Datenschutzgrundsätze in die Verarbeitung personenbezogener Daten effektiv einzubinden. Dieser Artikel erläutert, wie Privacy by Design in der Praxis umgesetzt werden kann. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":158,"title":"Das Konzept des Verantwortlichen und des Auftragsverarbeiters in der Praxis","slug":"das-konzept-des-verantwortlichen-und-des-auftragsverarbeiters-in-der-praxis","link":"/de/news/das-konzept-des-verantwortlichen-und-des-auftragsverarbeiters-in-der-praxis","titel":"Das Konzept des Verantwortlichen und des Auftragsverarbeiters in der Praxis","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Einleitung
\n\n
\n\n
Sind mehrere Personen an der Verarbeitung personenbezogener Daten beteiligt, stellt sich unweigerlich die Frage nach ihrer datenschutzbezogenen Rolle. Mit der Einführung der DS-GVO und den Bestimmungen über das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern in Artikel 28 und gemeinsam für die Verarbeitung Verantwortlichen in Artikel 26 bleiben die Schwierigkeiten bei der Bestimmung der richtigen Rolle der Parteien bestehen. Unternehmen stehen zunehmend vor der Herausforderung, ihre Rolle(n) zu bestimmen, insbesondere in komplexen Situationen und Geschäftsmodellen, in denen mehrere Parteien in verschiedenen Rechtsordnungen an der Verarbeitungstätigkeit beteiligt sind, jede mit unterschiedlichem Grad an Autonomie, Kontrolle und Verantwortung.
\n\n
\n\n
Die Unterscheidung zwischen den verschiedenen Rollen ist entscheidend für die Zuweisung von Verantwortlichkeiten und insbesondere für die Bestimmung, welche Partei primär für die Einhaltung der Datenschutzgrundsätze, der Datenschutzrechte der betroffenen Personen und der Meldepflichten zuständig ist. Die Unterscheidung ist ferner wesentlich für die Bestimmung des anwendbaren Rechts im grenzüberschreitenden Kontext, der vertraglichen Vereinbarungen und der Aufteilung der Haftung für Schäden, die sich aus der unrechtmässigen Verarbeitung ergeben.
\n\n
\n\n
Nach der DS-GVO ist jede Person, die personenbezogene Daten verarbeitet, aus datenschutzrechtlicher Sicht entweder Verantwortlicher oder Auftragsverarbeiter. Sind mehrere Verantwortliche an der Verarbeitung personenbezogener Daten beteiligt, so sind sie je nach konkreter Situation entweder gemeinsam Verantwortliche oder unabhängige Verantwortliche. Die DS-GVO definiert in Artikel 4 die Begriffe “Verantwortlicher”, “Auftragsverarbeiter” und “Verarbeitung,” und in Artikel 26 das Konzept der “gemeinsam Verantwortlichen”:
\n\n
\n\n
Der “Verantwortliche” (auf Englisch «Controller») ist die natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.
\n\n
\n\n
“Gemeinsam Verantwortliche” (auf Englisch «Joint Controllers») sind Verantwortliche, die gemeinsam festlegen, welche Daten zu welchem Zweck und mit welchen Mitteln verarbeitet werden.
\n\n
\n\n
Der “Auftragsverarbeiter” (auf Englisch «Processor») ist die natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.
\n\n
\n\n
Der Begriff “Verarbeitung” umfasst alle Vorgänge oder Reihen von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, unabhängig davon, ob sie automatisiert durchgeführt werden oder nicht, wie z.B. Erhebung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung oder Änderung, Abruf, Konsultation, Nutzung, Offenlegung durch Übermittlung, Verbreitung oder anderweitige Bereitstellung, Ausrichtung oder Kombination, Einschränkung, Löschung oder Zerstörung.
\n\n
\n\n
Der Begriff der unabhängigen Verantwortlichen ist in der DS-GVO nicht definiert. Der Begriff, wie er in diesem Artikel verwendet wird, bezeichnet Verantwortliche, die anders als gemeinsam Verantwortliche nicht gemeinsam die Zwecke und Mittel für die Verarbeitung personenbezogener Daten festlegen, sondern jeweils für sich, für eigene und unterschiedliche Zwecke.
\n\n
\n\n
Dieser Artikel legt die wesentlichen Faktoren für die Bestimmung der Rollen der Parteien dar und untersucht die Beziehung zwischen Auftraggebern und Dienstleistern und deren Folgen.1
\n\n
\n\n
2 Die wesentlichen Faktoren für die Bestimmung der Rolle(n) der Parteien
\n\n
\n\n
2.1 Die wesentlichen Faktoren
\n\n
\n\n
Die Hauptfaktoren für die Bestimmung, ob eine Partei ein Verantwortlicher, gemeinsam Verantwortlicher oder ein Auftragsverarbeiter ist, sind zum einen der Grad der Autonomie jeder Person bei der Bestimmung, für welche Zwecke, wie und in welcher Weise personenbezogene Daten verarbeitet werden und zum anderen der Grad der Kontrolle über den Inhalt personenbezogener Daten. Diese Feststellung ist immer faktisch und muss von Fall zu Fall unter Berücksichtigung jedes einzelnen Verarbeitungsvorgangs getroffen werden.
\n\n
\n\n
In einem ersten Schritt muss geprüft werden, ob und wenn ja, in welcher Weise das Unternehmen personenbezogene Daten “verarbeitet”. Während der Begriff “Verarbeitung” alles abdeckt, was mit personenbezogenen Daten geschieht, gibt es Situationen, in denen ein Unternehmen, das personenbezogene Daten besitzt, weder als Verantwortlicher noch als Auftragsverarbeiter gilt, weil es die Daten nicht im Sinne des Gesetzes verarbeitet. Das UK Information Commissioner’s Office (ICO) liefert ein Beispiel2, in welchem ein Kurierdienst von einem örtlichen Krankenhaus beauftragt wird, Umschläge mit Krankenakten von Patienten an andere Gesundheitseinrichtungen zu liefern. Während sich der Kurier im physischen Besitz der personenbezogenen Daten befindet, verarbeitet er die in den Briefen enthaltenen Daten nicht, da er diese nicht öffnen darf, um auf persönliche Daten oder andere Inhalte zuzugreifen. Die Verarbeitung personenbezogener Daten impliziert einen gewissen Zugang oder die Fähigkeit, die Verwendung der Daten selbst zu kontrollieren. Der physische Besitz der Briefe mit personenbezogenen Daten ist nicht ausreichend. Das Unternehmen, das sich für die Nutzung der Zustelldienste zur Übermittlung personenbezogener Daten entscheidet, ist in diesem Szenario der für die Verarbeitung Verantwortliche und ist dafür verantwortlich, die Anforderungen der DS-GVO zu erfüllen und insbesondere diese Dienste so zu organisieren, dass die personenbezogenen Daten angemessen geschützt sind und gegebenenfalls eine Geheimhaltungspflicht besteht. Entscheidend ist in diesem Fall, dass der Dienstleister keinen Plan, keine Absicht und kein Interesse an der Verarbeitung der personenbezogenen Daten hat.
\n\n
\n\n
Der Postzustelldienst ist jedoch ein Verantwortlicher in Bezug auf personenbezogene Daten wie z.B. die Namen und Adressen der einzelnen Absender und Empfänger, die er zur Organisation der Zustellung oder Nachverfolgung besitzt.
\n\n
\n\n
2.2 Verantwortlicher
\n\n
\n\n
Ein Unternehmen ist ein Verantwortlicher, wenn es durch seine Führungskräfte und Mitarbeiter entscheidet, warum und wie personenbezogene Daten verarbeitet werden sollen, und daher die allgemeinen Zwecke und Mittel der Datenverarbeitung kontrolliert. In der Regel gilt die juristische Person als Verantwortlicher und nicht die einzelne Person, die im Namen der juristischen Person handelt.3 Die Fähigkeit zur Bestimmung des Zwecks und der Art der Verarbeitung kann sich aus rechtlichen Umständen, wie beispielsweise einer rechtlichen Verpflichtung, oder aus faktischen Umständen ergeben.
\n\n
\n\n
Der Verantwortliche verarbeitet (oder beauftragt eine andere Person mit der Verarbeitung) personenbezogene Daten für seine eigenen Zwecke und bestimmt in der Regel:
\n\n
\n\n
\n
die Initiierung einer Verarbeitungstätigkeit;
\n
\n\n
\n
welche personenbezogenen Daten erhoben werden sollen, von wem, aus welchen Quellen und für welche Zwecke;
\n
\n\n
\n
wie die Daten verarbeitet werden sollen;
\n
\n\n
\n
ob personenbezogene Daten an Dritte weitergegeben werden sollen und an wen;
\n
\n\n
\n
ob ein oder mehrere Auftragsverarbeiter mit der Verarbeitung der Daten beauftragt werden sollen;
\n
\n\n
\n
ob die Daten geändert, anonymisiert oder gelöscht werden sollen; und
\n
\n\n
\n
wie lange die Daten gespeichert werden.
\n
\n\n
\n\n
Der Verantwortliche interagiert in der Regel direkt mit den betroffenen Personen, die davon ausgehen, dass das Unternehmen der Verantwortliche ist. Eine direkte Interaktion ist jedoch keine Voraussetzung und ist auch nicht immer gegeben, wie beispielsweise in einem Kontext klinischer Studien, in dem das Pharmaunternehmen als Sponsor der Studie im Allgemeinen die Identität der Studienteilnehmer nicht kennt. Der für die Verarbeitung Verantwortliche muss die Kontrolle über die Daten behalten, muss aber nicht unbedingt Zugang zu den personenbezogenen Daten haben oder diese verarbeiten können.4
\n\n
\n\n
Ein Unternehmen, das personenbezogene Daten aufgrund einer gesetzlichen Verpflichtung verarbeitet, gilt allgemein als Verantwortlicher und behält die Gesamtverantwortung für die jeweilige Verarbeitungstätigkeit. Dies kann beispielsweise eine Steuerbehörde oder ein Sozialversicherungsamt sein, oder ein Spezialist, der personenbezogene Daten gemäss seinen eigenen beruflichen Verpflichtungen verarbeitet, wie z.B. ein Rechtsanwalt oder ein Wirtschaftsprüfer. Erbringt jedoch beispielswiese ein Buchhalter weitere Dienstleistungen, die eine Verarbeitung personenbezogener Daten beinhalten, wie beispielsweise Lohn- und Gehaltsabrechnungsdienstleistungen, wird er zu einem Auftragsverarbeiter.
\n\n
\n\n
2.3 Gemeinsam Verantwortliche
\n\n
\n\n
Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Datenverarbeitung nach den oben genannten Kriterien festlegen, sind sie gemeinsam Verantwortliche. Der Wunsch der Parteien, gemeinsam verantwortlich zu sein, reicht jedoch nicht aus, um gemeinsame Verantwortlichkeit nach der DS-GVO anzunehmen. Die Sachverhalte und das Verhalten bei der Festlegung der Zwecke und Mittel sind entscheidend. Der Europäische Gerichtshof hat in seiner Entscheidung vom Juni 2018 (Wirtschaftsakademie) zusätzliche Klarheit geschaffen, indem er entschied, dass der Betreiber einer Facebook-Fanpage ein mit Facebook gemeinsam Verantwortlicher für die Verarbeitung personenbezogener Daten ist.5 In einer weiteren Entscheidung vom Juli 2018 (Jehovan) stellte der Europäische Gerichtshof weiter klar, dass eine Person oder Einrichtung, die für ihre eigenen Zwecke Einfluss auf die Verarbeitung personenbezogener Daten nimmt und sich dadurch an der Festlegung der Zwecke und Mittel dieser Verarbeitung beteiligt, als Verantwortlicher angesehen werden kann.6 Trotz dieser Entscheidungen besteht weiterhin die Unsicherheit, welches Mass an Mitbestimmung notwendig ist, um von einer gemeinsamen Verantwortlichkeit auszugehen, Diese muss von Fall zu Fall geprüft werden.
\n\n
\n\n
2.4 Auftragsverarbeiter
\n\n
\n\n
Ein Dienstleister ist ein Auftragsverarbeiter im Sinne der DS-GVO, wenn er (a) personenbezogene Daten (b) im Auftrag des Verantwortlichen und (c) auf Weisung des Verantwortlichen verarbeitet. Diese Voraussetzungen müssen erfüllt sein, damit der Dienstleister als Auftragsverarbeiter gilt. Andernfalls, und insbesondere, wenn der Dienstleister über eine gewisse Autonomie bei der Entscheidungsfindung oder der Kontrolle des Inhalts der Daten verfügt, ist er ein Verantwortlicher, gegebenenfalls ein gemeinsam Verantwortlicher. Dies bedeutet jedoch nicht, dass der Auftragsverarbeiter keine Entscheidungen treffen darf. Der Verantwortliche kann einige Entscheidungen im Zusammenhang mit den technischen und organisatorischen Fragen an den Auftragsverarbeiter delegieren, z.B. welche Hard- oder Software er verwenden soll, während er die wesentliche Fragen wie die Art der zu verarbeitenden personenbezogenen Daten, die Aufbewahrungsfrist oder die Zugriffsrechte bestimmt.7 Es stellt sich die Frage, inwieweit der Auftragsverarbeiter über die Art der Verarbeitung entscheiden kann, ohne selbst zum Verantwortlichen zu werden. Die DS-GVO stellt in Artikel 28 Absatz 10 fest, dass ein Auftragsverarbeiter zum Verantwortlichen wird, sobald er die Zwecke und Mittel der Verarbeitung bestimmt. In der Praxis bedeutet dies, dass der Auftragsverarbeiter, sobald er über die Anweisungen des Verantwortlichen hinausgeht, zu einem Verantwortlichen wird. Dies ist der Fall, wenn ein Dienstleister die Daten für eigene Zwecke verwendet, z.B. zur Durchführung von Analysen und zur Verbesserung seiner eigenen Dienste.
\n\n
\n\n
Bei der Feststellung, ob es sich bei einem Dienstleister um einen Auftragsverarbeiter oder einen Verantwortlichen bzw. gemeinsam Verantwortlichen handelt, sollte Folgendes berücksichtigt werden:
\n\n
\n\n
\n
der Handlungsspielraum, der dem Auftragsverarbeiter überlassen wird. Je detaillierter die Anweisungen sind, desto kleiner ist der Handlungsspielraum für den Dienstleister;
\n
der Grad der Kontrolle, den der Verantwortliche ausüben möchte;
\n
die Erwartungen der betroffenen Personen, wer der Verantwortliche ist. Dies hängt von den Informationen ab, die die betroffenen Personen vom Verantwortlichen erhalten.8
\n
\n\n
\n\n
Typischerweise
\n\n
\n\n
\n
verarbeitet ein Auftragsverarbeiter die Daten auf der Grundlage eines Mandats des Kunden;
\n
hat ein Auftragsverarbeiter keine Kontrolle über die Daten und entscheidet nicht, welche Daten zu erheben und wie sie zu verwenden sind;
\n
hat ein Auftragsverarbeiter kein eigenes geschäftliches Interesse an der Verarbeitung der Daten;
\n
ist es dem Auftragsverarbeiter vertraglich oder gesetzlich untersagt, die Daten für eigene Zwecke zu verwenden;
\n
bietet der Auftragsverarbeiter dem Kunden technische und operative Unterstützung;
\n
hat der Auftragsverarbeiter kein vertragliches Verhältnis mit den betroffenen Personen über die Verarbeitungstätigkeit;
\n
wird der Auftragsverarbeiter von den betroffenen Personen nicht als der Verantwortliche betrachtet.
\n
\n\n
\n\n
Je nach den spezifischen Umständen, dem Grad der Anweisungen und der Kontrolle durch den Kunden, kann der Dienstleister ein Auftragsverarbeiter, ein gemeinsam oder unabhängiger Verantwortlicher sein.9
\n\n
\n\n
3 Die Konsequenzen für jede Rolle
\n\n
\n\n
3.1 Das Unternehmen ist Verantwortlicher
\n\n
\n\n
Wenn ein Unternehmen als Verantwortlicher qualifiziert ist, ist es für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss insbesondere über eine Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten verfügen und die DS-GVO-Anforderungen erfüllen, wie beispielsweise die Benachrichtigung der betroffenen Personen und die Gewährung von Auskunftsrechten. Das Unternehmen hat die Freiheit, einen oder mehrere Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten zu beauftragen, vorbehaltlich spezifischer Weisungen bezüglich der Zwecke und Verarbeitungsmethoden, während es die Kontrolle über die Daten behält und für diese verantwortlich ist. In diesem Fall muss das Unternehmen sicherstellen, dass mit den Auftragsverarbeitern ein Auftragsverarbeitungsvertrag gemäss Artikel 28 DS-GVO abgeschlossen wird.
\n\n
\n\n
Ein Verantwortlicher kann auch personenbezogene Daten an einen anderen Verantwortlichen weitergeben, ohne ein gemeinsam Verantwortlicher zu sein. Wenn beispielsweise ein Adressbroker personenbezogene Daten an ein Unternehmen verkauft, welches diese Daten für Kundenbeziehungen und Marketingzwecke verarbeitet, gelten beide Unternehmen als unabhängige Verantwortliche, da sie ihre Zwecke und Verarbeitungsmethoden getrennt voneinander festlegen. Die DS-GVO schreibt in diesem Fall keinen besonderen Vertrag vor, es sei denn, die Weitergabe personenbezogener Daten erfolgt grenzüberschreitend aus dem EWR in ein Land, das kein angemessenes Datenschutzniveau bietet; in diesem Fall müssen angemessene Garantien wie EU-Standarddatenschutzklauseln vorgesehen werden. Da jedoch jede Partei für die Einhaltung der DS-GVO und insbesondere des Grundsatzes der Zweckbindung verantwortlich und haftbar ist, wird empfohlen, eine Vereinbarung über den Datenaustausch abzuschliessen, in der die wichtigsten Verpflichtungen der Parteien festgelegt sind.
\n\n
\n\n
3.2 Das Unternehmen ist ein gemeinsam Verantwortlicher
\n\n
\n\n
Handelt es sich bei dem Unternehmen um einen gemeinsam Verantwortlichen, so muss es zusammen mit den anderen Verantwortlichen eine Vereinbarung (z.B. ein Joint Controller Agreement) treffen, in der seine jeweiligen Verantwortlichkeiten bei der Einhaltung der DS-GVO festgelegt sind. Während die Verantwortlichen den Zweck und die Mittel der Verarbeitung gemeinsam festlegen, müssen die Verantwortlichkeiten nicht gleichmässig auf die Parteien verteilt werden, aber in der Vereinbarung klar umschrieben werden. Diese Verpflichtungen betreffen insbesondere:
\n\n
\n\n
\n
die Gewährung von Auskunftsrechten der betroffenen Personen;
\n
die Durchführung von Datenschutz-Folgenabschätzungen;
\n
die Benachrichtigung bei Datenschutzverletzungen; unddie Information von Personen über die Verarbeitung ihrer Daten nach Artikel 13 und 14 DS-GVO.
\n
\n\n
\n\n
Darüber hinaus muss die Vereinbarung im Wesentlichen den betroffenen Personen zugänglich gemacht werden, die sich an jeden gemeinsam Verantwortlichen wenden können, um ihre Datenschutzrechte auszuüben.
\n\n
\n\n
3.3 Das Unternehmen ist ein Auftragsverarbeiter
\n\n
\n\n
Ist der Dienstleister ein Auftragsverarbeiter, so ist Folgendes zu beachten:
\n\n
\n\n
\n
Ein Unternehmen kann sowohl ein Verantwortlicher für bestimmte Verarbeitungstätigkeiten als auch ein Auftragsverarbeiter für andere Verarbeitungstätigkeiten sein.
\n
Nicht alle Dienstleister sind auch Auftragsverarbeiter (nur wenn diese personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. In diesem Fall muss ein Auftragsverarbeitungsvertrag geschlossen werden).
\n
Während es unerlässlich ist, dass der Verantwortliche den Zweck der Verarbeitung bestimmt, wird die Entscheidung über die technischen und organisatorischen Mittel zur Verarbeitung, wie z.B. Speicherung, Abruf oder Löschung, in der Praxis oft an den Dienstleister delegiert. Besondere Aufmerksamkeit ist von Fall zu Fall bei der Beurteilung erforderlich, ob der Dienstleister noch als Auftragsverarbeiter oder als gemeinsam Verantwortlicher gilt.
\n
\n\n
\n\n
4 Die vertraglichen Regelungen
\n\n
\n\n
4.1 Auftragsverarbeitungsvertrag
\n\n
\n\n
Der Auftragsverarbeitungsvertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter muss die folgenden Mindestanforderungen gemäss Artikel 28 DS-GVO enthalten:
\n\n
\n\n
\n
den Gegenstand und die Dauer der Verarbeitung;
\n
Art und Zweck der Verarbeitung;
\n
die Kategorien der personenbezogenen Daten und der betroffenen Personen;
\n
die Pflichten und Rechte des Verantwortlichen (Rechtsgrundlage für Verarbeitungs- und Auditrechte);
\n
die Verpflichtungen des Auftragsverarbeiters, einschliesslich (a) der Verarbeitung personenbezogener Daten nur auf dokumentierte Weisungen des Verantwortlichen, (b) der Gewährleistung, dass nur Personen, die sich zur Vertraulichkeit verpflichtet haben, zur Verarbeitung der Daten berechtigt sind, (c) der Ergreifung aller dem Risiko angemessenen technischen und organisatorischen Massnahmen (Artikel 32 DS-GVO), (d) der Pflicht, Unterauftragsverarbeiter nur mit der vorherigen spezifischen oder allgemeinen schriftlichen Genehmigung des Verantwortlichen zu beauftragen, den Verantwortlichen über neue Unterauftragsverarbeiter zu informieren und diesen Unterauftragsverarbeitern vertraglich dieselben Verpflichtungen aufzuerlegen, wobei der Auftragsverarbeiter dem Verantwortlichen gegenüber haftbar bleibt für das Versagen der Unterauftragsverarbeiter, (e) der Unterstützung des Verantwortlichen bei Anliegen und Auskunftsanfragen der betroffenen Personen, Benachrichtigung bei Datenschutzverletzungen und der Durchführung von Datenschutz-Folgeabschätzungen, (f) der Löschung oder Rückgabe der personenbezogenen Daten an den Verantwortlichen nach Beendigung der Erbringung von Dienstleistungen und nach Wahl des Verantwortlichen, (g) der Pflicht, alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen nach Artikel 28 DS-GVO nachzuweisen und zu Audits, einschliesslich Inspektionen, die vom Verantwortlichen oder einem anderen von ihm beauftragen Prüfer durchgeführt werden, beizutragen, (h) der Pflicht, den Verantwortlichen unverzüglich zu informieren, wenn nach Ansicht des Auftragsverarbeiters eine Anweisung gegen die DS-GVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstösst.
\n
\n\n
\n\n
Darüber hinaus werden Bestimmungen über die Klärung der Rollen der Parteien, grenzüberschreitende Datenübermittlung, Meldepflichten, die Aufteilung der Kosten für Unterstützung und Prüfungen sowie die Haftung empfohlen, obwohl diese Bestimmungen nach Artikel 28 DS-GVO nicht zwingend vorgeschrieben werden.
\n\n
\n\n
4.2 Joint Controller Arrangement
\n\n
\n\n
Gemäss Artikel 26 DS-GVO müssen gemeinsam Verantwortliche in einer Vereinbarung ihre jeweiligen Verantwortlichkeiten für die Einhaltung der Verpflichtungen aus der DS-GVO festlegen. Das Gesetz legt nicht im Detail fest, welche Elemente abgedeckt werden müssen; daher verfügen die Parteien im Gegensatz zum Auftragsverarbeitungsvertrag nach Artikel 28 DS-GVO über eine gewisse Flexibilität. Die Vereinbarung, sei es ein Vertrag oder eine bindende Policy, sollte die Zwecke und Mittel der Verarbeitung beschreiben und folgende Fragen abdecken:
\n\n
\n\n
\n
Wer informiert die betroffenen Personen nach Artikel 13 und 14 DS-GVO?
\n
Wer stellt den betroffenen Personen die wesentlichen Punkte der Vereinbarung zur Verfügung?
\n
Bei wem können die betroffenen Personen ihre Datenschutzrechte ausüben (Ansprechpartner)?
\n
Wer kümmert sich um Auskunftsanfragen und andere Rechte der betroffenen Personen?
\n
Wer bearbeitet Beschwerden und Anträge von Aufsichtsbehörden?
\n
Wer ernennt bei Bedarf einen Datenschutzbeauftragten?
\n
Wer bestimmt, dokumentiert und überwacht die technischen und organisatorischen Sicherheitsmassnahmen?
\n
Wer führt bei Bedarf eine Datenschutz-Folgenabschätzung durch?
\n
Wer beauftragt die Auftragsverarbeiter, falls vorhanden?
\n
Wer führt die Aufzeichnungen über die Verarbeitungstätigkeiten?
\n
Wer stellt fest, ob ein Verstoss gegen die Datenschutzbestimmungen den Aufsichtsbehörden und den betroffenen Personen gemeldet werden muss, und nimmt die entsprechenden Mitteilungen vor?
\n
\n\n
\n\n
4.3 Vereinbarung über den Datenaustausch
\n\n
\n\n
Die DS-GVO schweigt zu Vereinbarungen über den Datenaustausch zwischen unabhängigen Verantwortlichen. Eine Vereinbarung oder eine anderweitige Garantie sind derzeit nur dann vorgeschrieben, wenn die für die Verarbeitung Verantwortlichen personenbezogene Daten grenzüberschreitend in ein Land ohne angemessenes Datenschutzniveau weitergeben. In diesem Fall können die EU-Standarddatenschutzklauseln für Verantwortliche verwendet werden10. Auch wenn keine grenzüberschreitende Übermittlung personenbezogener Daten vorgenommen wird, ist es dennoch ratsam, unter Berücksichtigung der Art der Datenweitergabe und der Sensibilität der zu übermittelnden personenbezogenen Daten zumindest die Hauptverpflichtungen der Parteien darzulegen und insbesondere (a) die Pflicht des Empfängers, die übermittelten personenbezogenen Daten nur in Übereinstimmung mit den allgemeinen Datenschutzgrundsätzen und unter Einhaltung der bestimmten Zwecke zu verarbeiten, (b) die Frage, ob die Daten an Dritte weitergegeben werden können, und wenn ja, unter welchen Bedingungen, (c) die Verpflichtung zur gegenseitigen Unterstützung, falls erforderlich, (d) die Pflicht der Umsetzung von Sicherheitsmassnahmen sowie (e) die Entschädigung und Haftung.
\n\n
\n\n
5 Das Verfahren zur Bestimmung der Rollen und die entsprechende vertragliche Vereinbarung
\n\n
\n\n
Zusammenfassend sind die folgenden Schritte zu ergreifen, wenn mehrere Parteien an der Verarbeitung personenbezogener Daten beteiligt sind, insbesondere wenn ein oder mehrere Auftragsverarbeiter beauftragt sind:
\n\n
\n\n
\n
Beurteilung, welche Dienstleistungen der Dienstleister erbringen soll und ob diese Dienstleistungen die Verarbeitung personenbezogener Daten erfordern.
\n
Bewertung der Rolle(n) des Dienstleisters.
\n
Festlegung der geeigneten vertraglichen Vereinbarung(en), um die Verantwortlichkeiten der Parteien abzudecken.
\n
\n\n
\n\n
6 Fazit
\n\n
\n\n
Mit der Einführung der DS-GVO und den Bestimmungen über das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern in Artikel 28 und gemeinsam Verantwortlichen in Artikel 26 bleiben die Schwierigkeiten bei der Bestimmung der Rollen der Parteien bestehen. Die Bewertung ist besonders schwierig in komplexen Situationen und Geschäftsmodellen, in denen mehrere Parteien in verschiedenen Rechtsordnungen an der Verarbeitungstätigkeit beteiligt sind, jeweils mit unterschiedlichem Grad an Autonomie, Kontrolle und Verantwortung.
\n\n
\n\n
Die Hauptfaktoren für die Bestimmung, ob eine Partei ein Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter ist, sind zum einen der Grad der Autonomie jeder Partei bei der Bestimmung, für welche Zwecke, wie und in welcher Weise personenbezogene Daten verarbeitet werden, und zum anderen der Grad der Kontrolle über den Inhalt personenbezogener Daten. Die Rollenbestimmung ist immer sachlich und muss von Fall zu Fall erfolgen, wobei jeder Verarbeitungsvorgang zu berücksichtigen ist.
\n\n
\n\n
7 Referenzen
\n\n
\n\n
\n
Artikel-29-Datenschutzgruppe: Stellungnahme 1/2010 zu den Begriffen “für die Verarbeitung Verantwortlicher” und “Auftragsverarbeiter” (referenziert als WP 169)
\n
\n\n
\n
Information Commissioner’s Office (ICO): Data controllers and data processors: what the difference is and what the governance implications are (referenziert als ICO-Richtlinie)
\n
Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. (Bitkom): Begleitende Hinweise zu der Anlage Auftragsverarbeitung (referenziert als Leitfaden Bitkom)
\n
Urteil des EU Gerichtshofs in Wirtschaftsakademie, C-210/16, EU:C:2018:388 (referenziert als Urteil C-210/16Wirtschaftsakademie)
\n
Urteil des EU Gerichthofs in Jehovan todistajat C-25/17, EU:C:2018:551 (referenziert als Urteil C-25/17 Jehovan)
\n
Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK): Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO, Stand 17.12.2018 (referenziert als DSK Kurzpapier Nr. 13)
\n
Entscheidung der Kommission vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EC im Hinblick auf die Einführung eines alternativen Satzes von Standarddatenschutzklauseln für die Übermittlung personenbezogener Daten in Drittländer (2004/915/EC) (referenziert
\n
\n\n
\n\n
[1] Eine detaillierte Analyse des Konzepts und einige Bespiele finden sich unter anderem in (a) der WP 169, (b) der ICO-Richtlinie, (c) dem Leitfaden Bitkom und (d) dem DSK Kurzpapier Nr. 13
\n\n
[2] ICO-Leitlinie, wo zusätzliche Erläuterungen in den Anmerkungen 33-39 zu finden sind
[9] Beispiele finden sich in der WP 169, der ICO-Leitlinie und dem DSK Kurzpapier Nr. 13
\n\n
[10] EU-Standarddatenschutzklauseln für Verantwortliche
\n","datum":"15.03.2019","teasertext":"
Sind mehrere Personen an der Verarbeitung personenbezogener Daten beteiligt, stellt sich unweigerlich die Frage nach ihrer datenschutzbezogenen Rolle. Dieser Artikel legt die wesentlichen Faktoren für die Bestimmung der Rollen der Parteien dar und untersucht die Beziehung zwischen Auftraggebern und Dienstleistern und deren Folgen.
Am 4. Mai 2016 hat die Europäische Union die Endfassung der EU-Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Die DSGVO wird die EU-Datenschutz-Direktive ersetzen und nach einer zweijährigen Umsetzungsfrist ab dem 25. Mai 2018 in allen EU-Mitgliedsstaaten unmittelbar und direkt gelten. Unternehmen haben bis dahin Zeit, ihr Datenschutz-Management-System den neuen Anforderungen anzupassen.
\n\n
\n\n
Die DSGVO sieht strengere und neue Rechte für Datensubjekte vor, beispielsweise ein Recht auf Vergessen oder ein Recht auf Datenübertragbarkeit, sowie neue Verpflichtungen für verantwortliche Unternehmen (Controller) und Auftragsdatenverarbeiter (Processor).
\n\n
\n\n
Hier sind ein paar der wichtigsten Änderungen:
\n\n
\n\n
Der räumliche Anwendungsbereich hat sich insofern geändert, dass nun neben Controllers neu auch Processors in der EU der Verordnung unterstehen. Wichtig ist, dass neu auch Unternehmen, die NICHT in der EU niedergelassen sind, der Verordnung unterstehen, wenn diese betroffenen Personen in der EU Waren oder Dienstleistungen anbieten oder das (online) Verhalten betroffener Personen beobachten, soweit ihr Verhalten in der EU erfolgt.
\n\n
\n\n
Verantwortliche Unternehmen müssen die Einhaltung der Verordnung nachweisen können und haben somit neu eine Rechenschaftspflicht (accountability). Diese beinhaltet Pflichten, wie:
\n\n
\n\n
\n
Führung eines Verzeichnisses von Verarbeitungstätigkeiten
\n
Einführung einer Datenschutzpolitik und Richtlinien
\n
Bestellung eines Datenschutzverantwortlichen in bestimmten Fällen
\n
Umsetzung von technischen und organisatorischen Sicherheitsmassnahmen
\n
Umsetzung von „privacy by design“ und „privacy by default“
\n
Durchführung von Datenschutzfolgeabschätzungen
\n
\n\n
\n\n
Verantwortliche Unternehmen können die Einhaltung der Verordnung auf verschiedene Weise bewiesen, beispielsweise durch Unternehmensrichtlinien, sog. Binding Corporate Rules (BCR), Zertifizierungen oder Verhaltens-Kodizes.
\n\n
\n\n
Die Bedingungen für die Einwilligung sind strenger. Verantwortliche Unternehmen müssen nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Die Einwilligung muss freiwillig, spezifisch, eindeutig und aufgrund von genügend Informationen und für besonders schützenwerte Daten explizit erfolgen, sowie jederzeit widerrufbar sein. Erfolgt die Einwilligung durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgen und sich von den anderen Sachverhalten klar unterscheiden. Die Einwilligung ist nicht gültig, wenn ein klares Missverhältnis zwischen dem Datensubjekt und dem verantwortlichen Unternehmen besteht, was beispielsweise in einem Arbeitsverhältnis der Fall sein könnte. Schliesslich ist eine Einwilligung ungültig, wenn die Erfüllung eines Vertrages, einschliesslich die Erbringung einer Dienstleistung, von einer solchen Einwilligung abhängt, wenn für die Erfüllung des Vertrages die Verarbeitung der personenbezogenen Daten nicht erforderlich ist.
\n\n
\n\n
Auftragsdatenverarbeiter unterstehen ebenfalls der Verordnung und haben nun direkte gesetzliche Pflichten.
\n\n
\n\n
Im Falle einer Verletzung des Schutzes personenbezogener Daten, welche voraussichtlich zu einem Risiko für die betroffenen Personen führt, muss das verantwortliche Unternehmen die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, melden. Hat die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, dann muss das verantwortliche Unternehmen die betroffenen Personen unverzüglich von der Verletzung benachrichtigen.
\n\n
\n\n
Datensubjekte können ihre Ansprüche auf immateriellen Schadenersatz geltend machen, wobei das verantwortliche Unternehmen die Beweislast trägt. Bussgelder für Verletzungen, beispielsweise Nichtbeachtung der Rechte der betroffenen Personen oder die Übermittlung von personenbezogenen Daten an einen Empfänger in einem Drittland ohne adäquaten Datenschutz, können bis zu 20 Millionen Euro oder 4% des weltweit jährlichen Umsatzes betragen.
\n\n
\n\n
Was sollten Unternehmen jetzt tun?
\n\n
\n\n
Unternehmen, welche der DSGVO unterstehen, sollten jetzt damit beginnen, ihren Datenschutz den neuen Anforderungen anzupassen und insbesondere:
\n\n
\n\n
\n
Sich mit der DSGVO auseinandersetzen und ihre Verpflichtungen verstehen
\n
Eine Gefährdungsanalyse und einen Soll-Ist-Vergleich durchführen, um allfällige Lücken zwischen ihrem jetzigen Datenschutz-Management-System und den neuen Anforderungen zu identifizieren.
\n
Notwendige Massnahmen definieren und einen entsprechenden Zeit- und Umsetzungsplan erstellen
\n
Richtlinien und Meinungen von nationalen Datenschutzbehörden und der Artikel 29 Arbeitsgruppe (WP29), welche in den nächsten Monaten erlassen werden, beachten
\n
\n\n
\n\n
Was können wir für Sie tun?
\n\n
\n\n
Wir unterstützen Sie gerne bei der Erarbeitung der Grundlagen und eines vertieften Verständnisses der Anforderungen sowie bei der Durchführung von Gefährdungsanalysen, Soll-Ist Analysen, Entwicklung oder Anpassung von Datenschutz-Management-Systemen, Richtlinien und Prozessen, um eine optimale Basis zur Einhaltung der neuen DSGVO zu erschaffen und gleichzeitig Risiken zu minimieren.
\n\n
\n\n
Den finalen Text der DSGVO finden Sie in verschiedenen Sprachenhier.
\n\n
\n","datum":"04.05.2016","teasertext":"
Am 4. Mai 2016 hat die Europäische Union die Endfassung der EU-Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Die DSGVO wird die EU-Datenschutz-Direktive ersetzen und nach einer zweijährigen Umsetzungsfrist ab dem 25. Mai 2018 in allen EU-Mitgliedsstaaten unmittelbar und direkt gelten. Unternehmen haben bis dahin Zeit, ihr Datenschutz-Management-System den neuen Anforderungen anzupassen.
\n","preview":"","datei":[],"linkextern":""}],"weiterlesen":"Weiterlesen","mehrlesen":"Mehr","beitragAnsehen":"Beitrag Ansehen"}}]}},"page":{"meta":{"locale":"de","title":"News & Knowledge – Privacy Legal | Daniela Fabian","keywords":"","description":"Informationen über neue Entwicklungen im Bereich Datenschutz und Publikationen zu diversen datenschutzrelevanten Themen.","status":200,"translatedPaths":{"de":"/de/news","en":"/en/news-knowledge"},"slug":"news","uri":"/de/news","url":"https://privacylegal.ch/de/news","hasSubnavigation":false},"content":[{"component":"HeaderSubpage","data":{"id":94,"title":"News Header","slug":"news-header","link":"/de/dev/part-data//news-header","hintergrundbild":{"id":17,"alt":false,"caption":false,"small":"https://privacylegal.ch/gallery/preview/17/fpl-bilder-serie-01-1811012.jpg","normal":"https://privacylegal.ch/gallery/normal/17/fpl-bilder-serie-01-1811012.jpg","large":"https://privacylegal.ch/gallery/full/17/fpl-bilder-serie-01-1811012@2x.jpg"},"titel":"Neuste Entwicklungen und Wissen","untertitel":"
Rund um die Welt werden laufend neue oder strengere Gesetze in den Bereichen Datenschutz, Informationssicherheit, künstliche Intelligenz usw. erlassen, um dem rasanten technologischen Fortschritt und den zunehmenden Anforderungen der digitalisierten Gesellschaft gerecht zu werden.
\n"}},{"component":"News","data":{"id":96,"title":"News & Knowledge","slug":"news-knowledge","link":"/de/dev/part-data//news-knowledge","news":[{"id":186,"title":"Ein Jahr unter dem revidierten schweizerischen Datenschutzgesetz: Die wichtigsten Änderungen und Erkenntnisse","slug":"ein-jahr-unter-dem-revidierten-schweizerischen-datenschutzgesetz-die-wichtigsten-aenderungen-und-erkenntnisse","link":"/de/news/ein-jahr-unter-dem-revidierten-schweizerischen-datenschutzgesetz-die-wichtigsten-aenderungen-und-erkenntnisse","titel":"Ein Jahr unter dem revidierten schweizerischen Datenschutzgesetz: Die wichtigsten Änderungen und Erkenntnisse","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
\n\n
1. Einleitung
\n\n
\n\n
\n\n
Am 1. September 2023 ist das revidierte Bundesgesetz über den Datenschutz (DSG) in Kraft getreten, zusammen mit der neuen Verordnung über den Datenschutz (DSV) und der neuen Verordnung über Datenschutzzertifizierungen (VDSZ). Seither ist mehr als ein Jahr vergangen, und es ist an der Zeit, auf dieses erste Jahr unter der neuen Datenschutzgesetzgebung zurückzublicken, die wichtigsten Änderungen zu rekapitulieren und die neuesten Entwicklungen zusammenzufassen.
\n\n
\n\n
2. Zusammenfassung der wichtigsten Änderungen
\n\n
\n\n
Dieser Abschnitt enthält eine kurze, nicht erschöpfende Zusammenfassung der wichtigsten Änderungen für Unternehmen. Eine detailliertere und umfassendere Auflistung und Erläuterung der Änderungen unter dem revidierten DSG finden Sie im 2023 veröffentlichten Artikel \"Neues Schweizer Datenschutzgesetz - Die wichtigsten Neuerungen für Unternehmen\".
\n\n
\n\n
\n
Beschränkung auf natürliche Personen: Das revidierte Gesetz schützt nur natürliche Personen, juristische Personen sind nicht mehr gedeckt.
\n
\n\n
\n\n
\n
Erweiterter räumlicher Geltungsbereich: Das DSG gilt neu auch für im Ausland veranlasste Sachverhalte, die sich in der Schweiz auswirken.
\n
\n\n
\n\n
\n
Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen: Unternehmen müssen den Datenschutz bereits in der Planungsphase in ihre Prozesse und Systeme integrieren (Datenschutz durch Technik / Privacy by Design) und durch geeignete Standardeinstellungen sicherstellen, dass die Bearbeitung auf das erforderliche Mindestmass beschränkt wird, soweit die betroffene Person nicht etwas anderes bestimmt (Datenschutz durch datenschutzfreundliche Voreinstellungen / Privacy by Default).
\n
\n\n
\n\n
\n
Verzeichnis der Bearbeitungstätigkeiten: Verantwortliche und Auftragsbearbeiter müssen ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Ausgenommen sind Unternehmen mit weniger als 250 Beschäftigten, deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt.
\n
\n\n
\n\n
\n
Bekanntgabe von Personendaten ins Ausland: Der Bundesrat legt nun verbindlich fest, welche Länder ein angemessenes Datenschutzniveau gewährleisten1 . Die Bekanntgabe von Personendaten in andere Länder ist nur mit zusätzlichen Garantien oder in gesetzlich vorgesehenen Ausnahmefällen erlaubt.
\n
\n\n
\n\n
\n
Verschärfte Informationspflicht: Betroffene Personen müssen in jedem Fall über die Beschaffung ihrer Personendaten informiert werden. Zu den Mindestinformationen gehören u.a. Informationen über grenzüberschreitende Datenübermittlungen, auch wenn sie in ein angemessenes Land erfolgen, und automatisierte Einzelentscheidungen.
\n
\n\n
\n\n
\n
Datenschutz-Folgenabschätzung (DSFA): Verantwortliche müssen eine DSFA durchführen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Ergibt die DSFA, dass die Bearbeitung trotz der vorgesehenen Massnahmen zu einem hohen Risiko führt, muss der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) konsultiert werden.
\n
\n\n
\n\n
\n
Meldung von Verletzungen der Datensicherheit: Verantwortliche müssen dem EDÖB so rasch wie möglich jede Verletzung der Datensicherheit melden, die zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen kann. Die betroffenen Personen müssen informiert werden, wenn dies zu ihrem Schutz erforderlich ist oder wenn der EDÖB es verlangt.
\n
\n\n
\n\n
\n
Erweiterte Datenschutzrechte: Betroffene Personen haben neu das Recht auf Datenübertragbarkeit und das Recht, die Überprüfung einer automatisierten Einzelentscheidung durch eine natürliche Person zu verlangen.
\n
\n\n
\n\n
\n
Verschärfte Strafbestimmungen: Privatpersonen (d.h. natürliche Personen, nicht Unternehmen) können mit einer Busse von bis zu 250 000 Franken bestraft werden, z.B. bei vorsätzlicher Verletzung der Informationspflicht, Verweigerung der Mitwirkung an Untersuchungen des EDÖB, Verletzung der gesetzlichen Vorschriften für grenzüberschreitende Datenübermittlung und Beauftragung von Auftragsbearbeitern, Nichteinhaltung der Mindestanforderungen an die Datensicherheit, usw.
\n
\n\n
\n\n
3. Neuste Entwicklungen
\n\n
\n\n
3.1. Anleitungen des EDÖB
\n\n
\n\n
Der EDÖB hat mehrere Leitfäden, Merkblätter und Empfehlungen herausgegeben, die Unternehmen dabei unterstützen sollen, die Anforderungen des revidierten Gesetzes zu erfüllen. Die Dokumente sind alle auf der Website des EDÖB2 zu finden und beinhalten unter anderem:
\n\n
\n\n
\n
Aktualisierter Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes (TOM)
\n
Technische Empfehlungen für die Protokollierung
\n
Merkblatt zur Datenschutz-Folgenabschätzung (DSFA)
\n
Vorlagen für Bearbeitungsreglemente
\n
Merkblatt betreffend die Untersuchung von Verstössen gegen Datenschutzvorschriften durch den EDÖB
\n
\n\n
\n\n
3.2. Online-Meldeformulare
\n\n
\n\n
Im Hinblick auf das Inkrafttreten des revidierten DSG hat der EDÖB verschiedene Online-Meldeformulare eingerichtet, um eine sichere elektronische Übermittlung zu gewährleisten:
\n\n
\n\n
\n
Online-Dienst zur Meldung von Datensicherheitsverletzungen3
\n
Register der Bearbeitungstätigkeiten für Bundesorgane (DataReg)4
\n
Meldeportal für Datenschutzberater/innen (DSB-Portal)5
\n
Online-Formular zur Anzeige von Datenschutzverletzungen (für Betroffene und Dritte)6
\n
\n\n
\n\n
3.3. Jüngste Entwicklungen
\n\n
\n\n
Angemessenheitsbeschluss für den schweizerisch-amerikanischen Datenschutzrahmen
\n\n
\n\n
Der Bundesrat hat den neuen Swiss-US Data Privacy Framework als sicheren Rahmen für die grenzüberschreitende Datenübermittlung anerkannt. Seit dem 15. September 2024 können somit Personendaten ohne zusätzliche Garantien aus der Schweiz an zertifizierte Unternehmen in den USA übermittelt werden. Die Liste der zertifizierten Unternehmen ist auf der offiziellen Website des Data Privacy Framework7 zu finden.
\n\n
\n\n
Stellungnahme des EDÖB zur KI-gestützten Datenbearbeitung
\n\n
\n\n
Angesichts der rasanten Zunahme der KI-gestützten Datenbearbeitung hat der EDÖB in einer Medienmitteilung festgehalten, dass das DSG unabhängig vom Ansatz für künftige KI-Regulierungen direkt auf die KI-gestützte Datenbearbeitung anwendbar ist. Hersteller, Anbieter und Nutzer von KI-Systemen müssen insbesondere den Zweck, die Funktionsweise und die Datenquellen der KI-gestützten Bearbeitung transparent machen und sicherstellen, dass die betroffenen Personen über ein Höchstmass an digitaler Selbstbestimmung verfügen. Der vollständige Text der Medienmitteilung ist auf der Website des EDÖB8 zu finden.
\n\n
\n\n
3.4. Jüngste Untersuchungen des EDÖB
\n\n
\n\n
Ransomware-Vorfall bei Xplain
\n\n
\n\n
Nach einem Ransomware-Vorfall beim IT-Sicherheitsdienstleister Xplain wurde eine grosse Menge an Personendaten aus der Bundesverwaltung, darunter auch besonders schützenswerte Personendaten, die auf den Servern von Xplain gespeichert waren, im Darknet veröffentlicht. Der EDÖB eröffnete eine Untersuchung gegen das Bundesamt für Polizei (fedpol), das Bundesamt für Zoll und Grenzschutz (BAZG) und Xplain.
\n\n
\n\n
In seinen Schlussberichten an fedpol9 und das BAZG10 führte der EDÖB aus, dass keines der beiden Bundesämter eine klare Vereinbarung mit Xplain hatte, ob und unter welchen Bedingungen Personendaten im Rahmen der Supportdienstleistungen auf den Servern von Xplain gespeichert werden sollten. Die Daten wurden an Xplain übermittelt, ohne dass genaue Anforderungen an die Übermittlung und die Datensicherheit definiert worden waren. Der EDÖB stellte zudem fest, dass unnötig viele Personendaten an Xplain übermittelt wurden.
\n\n
\n\n
Gemäss dem Schlussbericht des EDÖB an Xplain11 hat der Auftragsbearbeiter keine angemessenen Datensicherheitsmassnahmen getroffen und die Grundsätze der Zweckbindung und der Verhältnismässigkeit verletzt, indem er Personendaten der Bundesverwaltung aufbewahrt und nicht vertragsgemäss gelöscht hat.
\n\n
\n\n
Aus den Empfehlungen des EDÖB lassen sich die folgenden allgemeinen Schlussfolgerungen ziehen:
\n\n
\n\n
\n
Datenminimierung und Datensicherheit müssen unbedingt beachtet werden
\n
\n\n
\n\n
\n
Die Bearbeitung durch Auftragsbearbeiter muss durch klare vertragliche Vereinbarungen geregelt werden
\n
\n\n
\n\n
\n
Auftragsbearbeiter müssen sorgfältig ausgewählt, instruiert und laufend überwacht werden, um die Einhaltung aller Vorschriften zu gewährleisten
\n
\n\n
\n\n
\n
Auftragsbearbeiter müssen die Anforderungen betreffend Datensicherheit, Aufbewahrung und Löschung von Daten erfüllen
\n
\n\n
\n\n
Untersuchung gegen Digitec Galaxus
\n\n
\n\n
Nach Meldungen von betroffenen Personen, die eine Vielzahl von Datenbearbeitungen akzeptieren mussten, bevor sie eine Bestellung tätigen konnten, eröffnete der EDÖB eine Untersuchung über die Bearbeitung von Kundendaten bei Digitec Galaxus, einem der grössten Schweizer Online-Shops. Die Untersuchung betraf einerseits die Datenschutzerklärung von Digitec Galaxus und andererseits die Verpflichtung, ein Kundenkonto anzulegen, um eine Bestellung im Online-Shop aufgeben zu können.
\n\n
\n\n
In seinem Schlussbericht12 stellt der EDÖB unter anderem fest, dass Digitec Galaxus die Grundsätze der Transparenz und der Verhältnismässigkeit verletzt hat. Aus den Empfehlungen des EDÖB lassen sich folgende Schlussfolgerungen ziehen:
\n\n
\n\n
\n
Datenminimierung und Verhältnismässigkeit sind essenzielle Grundsätze, die unbedingt eingehalten werden müssen
\n
\n\n
\n\n
\n
Datenschutzerklärungen müssen klar und transparent sein und unter anderem angeben, welche Personendaten zu welchen Zwecken bearbeitet werden und an wen sie weitergegeben werden
\n
\n\n
\n\n
Untersuchung gegen Ricardo / TX Group
\n\n
\n\n
Nach Berichten und Beschwerden von Nutzern der Auktionsplattform Ricardo, die in einer neuen Datenschutzerklärung darüber informiert wurden, dass ihre Daten zu Sicherheits- und Marketingzwecken innerhalb der TX Group weitergegeben werden und dass ihr Konto deaktiviert wird, wenn sie einer solchen Weitergabe und/oder Verwendung ihrer Daten widersprechen, hat der EDÖB eine Untersuchung gegen Ricardo und deren Muttergesellschaft TX Group eingeleitet.
\n\n
\n\n
In seinem Schlussbericht13 hält der EDÖB unter anderem fest, dass Ricardo den Grundsatz der Transparenz verletzt und keine gültige Rechtsgrundlage für die Bearbeitung von Personendaten zu Marketing- und Analysezwecken hat, da die betroffenen Personen nicht angemessen informiert wurden und nicht eingewilligt haben. Aus den Empfehlungen des EDÖB lassen sich folgende Schlussfolgerungen ziehen:
\n\n
\n\n
\n
Nutzungsdaten gelten als Personendaten, auch wenn sie nicht direkt mit dem jeweiligen Nutzer in Verbindung gebracht werden, solange der Nutzer ohne unverhältnismässigen Aufwand identifizierbar bleibt
\n
\n\n
\n\n
\n
Betroffene Personen müssen klar und transparent informiert werden über die Verwendung ihrer Personendaten für Marketing- und Tracking-Zwecke sowie über die Erstellung von Persönlichkeitsprofilen (gemäss dem bisherigen DSG) oder Profiling (gemäss dem revidierten DSG)
\n
\n\n
\n\n
\n
Das überwiegende berechtigte Interesse des Verantwortlichen muss sorgfältig gegen die Interessen der betroffenen Personen und ihr Recht auf Kontrolle über ihre Daten abgewogen werden, wenn es als Rechtfertigungsgrund dienen soll
Ein Jahr nach Inkrafttreten des neuen schweizerischen Datenschutzgesetzes haben sich einige Schwerpunkte herauskristallisiert, die von allen Organisationen, die Personendaten bearbeiten, besonders beachtet werden sollten:
\n\n
\n\n
Bearbeitung von Personendaten durch Auftragsbearbeiter / Outsourcing
\n\n
\n\n
Gemäss dem Tätigkeitsbericht des EDÖB 2023/2024 war bei einigen der gemeldeten Datenschutzverletzungen ein Dienstleister, d.h. ein Auftragsbearbeiter involviert, und in all diesen Fällen war eine grosse Zahl betroffener Personen einem hohen Risiko ausgesetzt. Für Unternehmen ist es daher unerlässlich, ihre Auftragsbearbeiter sorgfältig auszuwählen und zu bewerten, die notwendigen vertraglichen Vereinbarungen zu treffen und die Einhaltung der Datenschutz- und Sicherheitsanforderungen durch die Auftragsbearbeiter kontinuierlich zu überwachen.
\n\n
\n\n
Datensicherheit
\n\n
\n\n
Der EDÖB hat in seinen Richtlinien und Empfehlungen der Datensicherheit einen hohen Stellenwert eingeräumt, mit besonderem Augenmerk auf den neu eingeführten risikobasierten Ansatz. Zudem haben einige der prominentesten Untersuchungen des EDÖB gezeigt, dass Datensicherheit ein äusserst wichtiges Thema ist und dies aufgrund der stetigen technologischen Entwicklung sicher auch bleiben wird.
\n\n
\n\n
Informationspflicht/Transparenz
\n\n
\n\n
Angesichts der erweiterten Informationspflicht unter dem revidierten DSG und mehrerer Untersuchungen des EDÖB, die diesbezügliche Mängel aufdeckten, sollten Unternehmen besonders auf ihre Datenschutzerklärungen achten und diese regelmässig überprüfen, um sicherzustellen, dass sie jederzeit klar, korrekt und vollständig sind.
\n\n
\n\n
Datenminimierung
\n\n
\n\n
Datenminimierung ist nicht nur eine gesetzliche Anforderung, sondern trägt auch dazu bei, das Risiko schwerwiegender, grossflächiger Datenschutzverletzungen zu verringern. Indem nur die zur Erfüllung des Zwecks erforderlichen Personendaten gespeichert und an Auftragsbearbeiter weitergegeben werden und die Daten gelöscht oder anonymisiert werden, sobald sie nicht mehr benötigt werden, kann nicht nur die Einhaltung des DSG gewährleistet, sondern auch das Risiko minimiert werden.
\n\n
\n\n
FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.
Dieser Artikel blickt auf das erste Jahr unter dem neuen schweizerischen Datenschutzgesetz zurück, indem er zunächst die wichtigsten Änderungen in Erinnerung ruft und dann die jüngsten Entwicklungen seit dem Inkrafttreten des revidierten Gesetzes zusammenfasst.
\n","preview":"","datei":[],"linkextern":""},{"id":185,"title":"Datenschutz-Compliance: Erkenntnisse aus den jüngsten Untersuchungen des EDÖB","slug":"datenschutz-compliance-erkenntnisse-aus-den-juengsten-untersuchungen-des-edoeb","link":"/de/news/datenschutz-compliance-erkenntnisse-aus-den-juengsten-untersuchungen-des-edoeb","titel":"Datenschutz-Compliance: Erkenntnisse aus den jüngsten Untersuchungen des EDÖB","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
In den vergangenen Monaten hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mehrere Untersuchungen abgeschlossen und seine Schlussberichte mit Empfehlungen veröffentlicht. In diesem Artikel konzentrieren wir uns auf zwei dieser Fälle und die Erkenntnisse, die daraus gezogen werden können.
\n\n
\n\n
Obwohl die Untersuchungen vor dem Inkrafttreten des revidierten Bundesgesetzes über den Datenschutz (DSG) im September 2023 eingeleitet wurden und somit noch unter dem vorherigen Recht erfolgten, verdienen einige der Schlussfolgerungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) besondere Aufmerksamkeit und können als Indikator für die zu erwartenden Anforderungen unter dem revidierten DSG dienen.
\n\n
\n\n
Dieser Artikel geht nicht auf die einzelnen Empfehlungen des EDÖB ein und bewertet diese nicht. Ebenso wenig geht er auf die Argumente der untersuchten Unternehmen ein, die in den meisten Punkten der Beurteilung und den Empfehlungen des EDÖB widersprechen. Vielmehr fasst er die Kernaussagen und Erkenntnisse aus dem Datenschutz-Audit des EDÖB zusammen, die auch nach geltendem Recht relevant sind.
\n\n
\n\n
Untersuchung gegen Digitec Galaxus
\n\n
\n\n
In einer umfassenden Untersuchung hat der EDÖB die Bearbeitung von Kundendaten bei Digitec Galaxus, dem grössten Online-Shop der Schweiz, geprüft. Die Untersuchung betraf einerseits die Datenschutzerklärung von Digitec Galaxus und andererseits das Erfordernis, ein Kundenkonto zu eröffnen, um eine Online-Bestellung zu tätigen.
\n\n
\n\n
Auslöser für die 2021 eingeleitete Untersuchung waren Berichte betroffener Personen, wonach sie eine Vielzahl von Datenbearbeitungen akzeptieren mussten und gezwungen waren, ein Konto einzurichten, bevor sie eine Bestellung aufgeben konnten, und Digitec Galaxus sich weigerte, Anträgen betroffener Personen auf Löschung von Personendaten oder Nichtverwendung dieser Daten für Profiling-, Marketing- und Marktforschungszwecke nachzukommen.
\n\n
\n\n
In seinem Schlussbericht1 stellt der EDÖB fest, dass die Grundsätze der Transparenz und der Verhältnismässigkeit verletzt wurden, und gibt Empfehlungen ab. Im Folgenden werden die wichtigsten Aussagen und Erkenntnisse aus dem vom EDÖB durchgeführten Datenschutz-Audit aufgeführt:
\n\n
\n\n
Definition von Personendaten
\n\n
\n\n
Der EDÖB bekräftigt, dass die Bestimmbarkeit der betroffenen Person von der konkreten Situation abhängt, wobei das Interesse, die Mittel und insbesondere die technischen Möglichkeiten der an der Identifizierung der betroffenen Person interessierten Partei zu berücksichtigen sind. Wenn nach der allgemeinen Lebenserfahrung nicht zu erwarten ist, dass eine interessierte Partei sich die Mühe macht, die betroffene Person zu identifizieren, ist in der Regel keine Bestimmbarkeit der betroffenen Person gegeben.
\n\n
\n\n
Weiter hält der EDÖB fest, dass Daten, die einen eindeutigen Bezug zum entsprechenden Endnutzer haben, Personendaten im Sinne des DSG sind. Nutzungsdaten und andere gerätespezifische Daten, die einem bestimmten Benutzer zugeordnet werden können, sind somit Personendaten im Sinne des DSG. Ebenso sind Hashwerte als Personendaten zu betrachten, wenn sie Rückschlüsse auf bestimmte Nutzer zulassen.
\n\n
\n\n
Transparenz und Datenschutzerklärung
\n\n
\n\n
a) Verknüpfung der Personendaten und der Bearbeitungszwecke:
\n\n
\n\n
Der EDÖB stellt klar, dass eine Auflistung der erhobenen Personendaten (unabhängig vom Zweck) und eine separate Auflistung der Zwecke nicht ausreichen, um das Transparenzgebot zu erfüllen, da die betroffenen Personen nicht in der Lage sind, festzustellen, welche Daten zu welchem Zweck erhoben werden und somit der Bearbeitung wirksam zu widersprechen. Gemäss dem EDÖB muss für die betroffene Person ersichtlich sein, welche Personendaten konkret zu welchen Zwecken bearbeitet und an welche Unternehmen weitergegeben werden.
\n\n
\n\n
Die Auffassung des EDÖB, dass Personendaten mit ihrem Bearbeitungszweck verknüpft werden müssen, entspricht dem Ansatz in der EU, wonach Zweck und Datenkategorie miteinander verknüpft werden müssen.
\n\n
\n\n
b) Umfang der Datenbearbeitung:
\n\n
\n\n
Der EDÖB ist der Ansicht, dass die Informationen in der Datenschutzerklärung korrekt sein müssen und dass die betroffenen Personen erwarten dürfen, dass die beschriebenen Datenbearbeitungen tatsächlich stattfinden. Informationen über Datenbearbeitungen, die weder stattfinden noch geplant sind, sind irreführend und verstossen nach Ansicht des EDÖB gegen die Grundsätze von Treu und Glauben und Transparenz, so dass ein Rechtfertigungsgrund erforderlich wäre. Der EDÖB vertritt die Auffassung, dass die betroffenen Personen vom Verantwortlichen darüber informiert werden müssen, welche Datenbearbeitungen tatsächlich stattfinden, damit sie ihre Rechte als betroffene Personen wahrnehmen können.
\n\n
\n\n
c) Recht auf Widerspruch:
\n\n
\n\n
Der EDÖB hält fest, dass die betroffenen Personen ein Widerspruchsrecht gegen die Bearbeitung ihrer Personendaten haben und dass der Verantwortliche die Datenbearbeitung einstellen muss, wenn es keinen Rechtfertigungsgrund für die Datenbearbeitung gibt (z.B. ein überwiegendes berechtigtes Interesse des Verantwortlichen).
\n\n
\n\n
Grundsatz der Verhältnismässigkeit
\n\n
\n\n
Um eine Bestellung bei Digitec Galaxus zu tätigen, mussten die betroffenen Personen ein Kundenkonto anlegen und allen in der Datenschutzerklärung aufgeführten Bearbeitungstätigkeiten und -zwecken zustimmen, einschliesslich derjenigen, die nicht in direktem Zusammenhang mit der Bearbeitung ihrer Bestellung stehen und für diese notwendig sind, wie die Analyse des Kundenverhaltens, die Erstellung von Kundenprofilen, personalisierte Werbung usw.
\n\n
\n\n
Der EDÖB erachtet das Erfordernis, für eine Online-Bestellung ein Kundenkonto anzulegen, als unzulässig, weil es gegen den Grundsatz der Verhältnismässigkeit verstösst. Der EDÖB empfiehlt, zur Vermeidung der festgestellten Verletzung der Datenschutzgrundsätze die Alternative eines Gastkaufs ohne Kundenkonto anzubieten.
\n\n
\n\n
Untersuchung gegen Ricardo / TX Group
\n\n
\n\n
2017 leitete der EDÖB eine Untersuchung gegen die Auktionsplattform Ricardo und ihre Muttergesellschaft TX Group ein, nachdem Berichte und Beschwerden von Nutzern eingegangen waren, die in einer neuen Datenschutzerklärung darüber informiert wurden, dass ihre Daten innerhalb der TX Group zu Sicherheits- und Marketingzwecken weitergegeben würden und dass ihr Konto deaktiviert und ihre Mitgliedschaft aufgelöst würde, wenn sie einer solchen Weitergabe und/oder Verwendung ihrer Daten widersprächen.
\n\n
\n\n
Gegenstand der Untersuchung war die Übermittlung von Personendaten durch Ricardo an die TX Group, die Verwendung dieser Daten für personalisierte Werbung und die entsprechende Datenschutzerklärung.
\n\n
\n\n
In seinem Schlussbericht2 hält der EDÖB fest, dass die Grundsätze von Treu und Glauben, Transparenz und Verhältnismässigkeit verletzt wurden, und unterstreicht die Definition von Personendaten.
\n\n
\n\n
Definition von Personendaten
\n\n
\n\n
Wie im oben beschriebenen Fall zu Digitec Galaxus hat der EDÖB den Begriff der Personendaten so definiert, dass eine Person auch dann bestimmbar ist, wenn sie nicht allein aufgrund der vorhandenen Daten eindeutig identifiziert werden kann, sondern aus den Umständen, d.h. dem Kontext einer Information, abgeleitet werden kann. Dabei ist es grundsätzlich unerheblich, wie der Bezug zur betroffenen Person hergestellt und somit die Person identifiziert wird, z.B. durch einen Schlüssel, eine Nummer oder ein Aktenzeichen. Allerdings muss der Aufwand für die Identifizierung für eine interessierte Partei zumutbar sein. Die theoretische Möglichkeit der Identifizierung ist daher nicht ausreichend. Der Aufwand für die Identifizierung hängt weitgehend vom Interesse und den Mitteln ab, die der an der Identifizierung interessierten Partei zur Verfügung stehen, einschliesslich Spezialwissen oder zusätzlicher Informationsquellen oder aufgrund anderer Umstände. Wenn Personendaten ohne unverhältnismässigen Aufwand identifiziert werden können oder, im Falle einer Verschleierung der Identität, re-identifiziert werden können, handelt es sich um Personendaten.
\n\n
\n\n
Einhaltung der Bearbeitungsgrundsätze
\n\n
\n\n
Der EDÖB betont, dass die Bearbeitung von Personendaten im Einklang mit den Bearbeitungsgrundsätzen des DSG, insbesondere dem Grundsatz von Treu und Glauben sowie den Grundsätzen der Transparenz und der Verhältnismässigkeit (in Bezug auf Datenminimierung und Speicherbegrenzung) erfolgen muss. Ein Verstoss gegen die Bearbeitungsgrundsätze stellt eine Persönlichkeitsverletzung dar, was bedeutet, dass es einen Rechtfertigungsgrund für die Datenbearbeitung braucht, d.h. die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder ein Gesetz. Dabei muss beachtet werden, dass ein überwiegendes Interesse nicht ohne weiteres als Rechtfertigung für eine Persönlichkeitsverletzung aufgrund eines Verstosses gegen die Bearbeitungsgrundsätze angenommen werden kann, da dies die Einhaltung der Bearbeitungsgrundsätze untergraben würde. Ob ein überwiegendes Interesse vorliegt, muss von Fall zu Fall geprüft werden. Der EDÖB bekräftigt, dass bei der Interessenabwägung grundsätzlich alle schützenswerten Einzelinteressen berücksichtigt werden können, also auch wirtschaftliche Interessen. Andererseits muss die Einwilligung auf einer klaren Datenschutzerklärung beruhen und durch eine aktive Handlung erteilt werden. Ebenso bedarf es eines Rechtfertigungsgrundes für die Bearbeitung von Personendaten gegen den ausdrücklichen Willen der betroffenen Person, zum Beispiel wenn diese ausdrücklich gegen die Datenbearbeitung Einspruch erhoben hat.
\n\n
\n\n
Schlussfolgerung
\n\n
\n\n
Diese beiden Untersuchungen und die Schlussfolgerungen des EDÖB unterstreichen die grosse Bedeutung von Transparenz und Verhältnismässigkeit bei der Bearbeitung von Personendaten. Es kann darüber diskutiert werden, ob der EDÖB zu weit geht, indem er Anforderungen stellt, die nicht im Gesetz begründet sind, wie etwa ein Bündelungsverbot. Die Sichtweise des EDÖB bleibt jedoch relevant, wenn es darum geht, Datenschutz-Compliance in Unternehmen sicherzustellen.
\n\n
\n\n
FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.
In den vergangenen Monaten hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mehrere Untersuchungen abgeschlossen und seine Schlussberichte mit Empfehlungen veröffentlicht. In diesem Artikel konzentrieren wir uns auf zwei dieser Fälle und die Erkenntnisse, die daraus gezogen werden können.
FABIAN PRIVACY LEGAL GmbH hat im ICLG Cybersecurity Laws and Regulations Report 2025 das Kapitel über die Schweiz verfasst.
\n\n
\n\n
Der ICLG Cybersecurity Laws and Regulations Report ist ein internationales Vergleichswerk, das eine Übersicht über die geltenden Gesetze und Vorschriften im Bereich der Cybersicherheit in diversen Ländern bietet und gängige Themen wie Cyberkriminalität, anwendbare Gesetze, Verhinderung von Angriffen, spezifische Sektoren, Corporate Governance, Rechtsstreitigkeiten, Versicherungen sowie Ermittlungs- und Polizeibefugnisse behandelt.
\n\n
\n\n
Um den ICLG Cybersecurity Laws and Regulations Report 2025 Switzerland als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Um den Report online auf der ICLG Website anzuschauen, klicken Sie bitte hier.
\n","datum":"06.11.2024","teasertext":"
FABIAN PRIVACY LEGAL GmbH hat im ICLG Cybersecurity Laws and Regulations Report 2025 das Kapitel über die Schweiz verfasst.
\n\n
\n\n
Der ICLG Cybersecurity Laws and Regulations Report ist ein internationales Vergleichswerk, das eine Übersicht über die geltenden Gesetze und Vorschriften im Bereich der Cybersicherheit in diversen Ländern bietet und gängige Themen wie Cyberkriminalität, anwendbare Gesetze, Verhinderung von Angriffen, spezifische Sektoren, Corporate Governance, Rechtsstreitigkeiten, Versicherungen sowie Ermittlungs- und Polizeibefugnisse behandelt.
\n","preview":"","datei":[],"linkextern":""},{"id":183,"title":"Ein Jahr danach - Umsetzung des revidierten Schweizerischen Datenschutzgesetzes","slug":"webinar-one-year-on-mastering-compliance-with-switzerland-s-data-protection-act","link":"/de/news/webinar-one-year-on-mastering-compliance-with-switzerland-s-data-protection-act","titel":"Ein Jahr danach - Umsetzung des revidierten Schweizerischen Datenschutzgesetzes","text":"
In diesem Webinar fasst Daniela Fábián die wichtigsten Anforderungen des Schweizerischen Datenschutzgesetzes zusammen, spricht über Erfahrungen und Entwicklungen seit dem Inkrafttreten des Gesetzes am 1. September 2023 und zeigt Wege auf, um die Anforderungen korrekt umzusetzen.
\n\n
\n\n
Um sich das Webinar anzusehen, klicken Sie bitte hier
\n\n
\n\n
Bitte beachten Sie, dass das Webinar in englischer Sprache durchgeführt wird.
\n\n
\n\n
Um eine deutsche Übersetzung der Präsentation als PDF herunterzuladen, klicken Sie bitte hier
\n","datum":"12.09.2024","teasertext":"
In diesem Webinar fasst Daniela Fábián die wichtigsten Anforderungen des Schweizerischen Datenschutzgesetzes zusammen, spricht über Erfahrungen und Entwicklungen seit dem Inkrafttreten des Gesetzes am 1. September 2023 und zeigt Wege auf, um die Anforderungen korrekt umzusetzen.
\n","preview":"","datei":[],"linkextern":""},{"id":182,"title":"ICLG Data Protection Report 2024 (auf Englisch)","slug":"iclg-data-protection-report-2024","link":"/de/news/iclg-data-protection-report-2024","titel":"ICLG Data Protection Report 2024 (auf Englisch)","text":"
FABIAN PRIVACY LEGAL GmbH hat im diesjährigen ICLG Data Protection Laws and Regulations Report das Kapitel über die Schweiz verfasst.
\n\n
\n\n
Der ICLG Data Protection Laws and Regulations Report ist ein internationales Vergleichswerk, das eine Übersicht über diverse nationale Datenschutz-Regulierungen bietet, zu gängigen Themen wie relevante Gesetzgebung und zuständige Behörden, räumlicher Anwendungsbereich, Grundätze der Datenverarbeitung, Rechte der betroffenen Personen, Registrierungsvorschriften, Ernennung eines Datenschutzbeauftragten, Einsatz von Auftragsverarbeitern (Outsourcing) usw.
\n\n
\n\n
Um den ICLG Data Protection Laws and Regulations Report 2024 Switzerland als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Um den Report online auf der ICLG Website anzuschauen, klicken Sie bitte hier.
\n","datum":"06.08.2024","teasertext":"
FABIAN PRIVACY LEGAL GmbH hat im diesjährigen ICLG Data Protection Laws and Regulations Report das Kapitel über die Schweiz verfasst.
\n\n
\n\n
Der ICLG Data Protection Laws and Regulations Report ist ein internationales Vergleichswerk, das eine Übersicht über diverse nationale Datenschutz-Regulierungen bietet, zu gängigen Themen wie relevante Gesetzgebung und zuständige Behörden, räumlicher Anwendungsbereich, Grundätze der Datenverarbeitung, Rechte der betroffenen Personen, Registrierungsvorschriften, Ernennung eines Datenschutzbeauftragten, Einsatz von Auftragsverarbeitern (Outsourcing) usw.
\n","preview":"","datei":[],"linkextern":""},{"id":178,"title":"Onepager «Datenschutz x Advokatur»","slug":"onepager-datenschutz-x-advokatur","link":"/de/news/onepager-datenschutz-x-advokatur","titel":"Onepager «Datenschutz x Advokatur»","text":"
Im Rahmen der Fachgruppe Digital der Advokatenkammer Basel haben Daniela Fábián, Caroline Hasler und Apollo Dauag im Hinblick auf das Inkrafttreten des neuen Datenschutzrechts (insb. DSG und DSV) einen Onepager entwickelt mit dem Ziel, vor dem Inkrafttreten einen Überblick über die für AnwältInnen relevanten Punkte zu geben.
\n\n
\n\n
Der Onepager ist weder absolut noch abschliessend zu verstehen, sondern eher als «Hilfe zur Selbsthilfe».
\n\n
\n\n
Um den Onepager herunterzuladen, klicken Sie bitte hier.
\n","datum":"31.08.2023","teasertext":"
Im Rahmen der Fachgruppe Digital der Advokatenkammer Basel haben Daniela Fábián, Caroline Hasler und Apollo Dauag im Hinblick auf das Inkrafttreten des neuen Datenschutzrechts (insb. DSG und DSV) einen Onepager entwickelt mit dem Ziel, vor dem Inkrafttreten einen Überblick über die für AnwältInnen relevanten Punkte zu geben.
\n\n
\n","preview":"","datei":[],"linkextern":""},{"id":175,"title":"Strategie zum Umgang mit und zur Vermeidung von Datenschutzverletzungen (auf Englisch)","slug":"strategie-zum-umgang-und-zur-vermeidung-von-datenschutzverletzungem","link":"/de/news/strategie-zum-umgang-und-zur-vermeidung-von-datenschutzverletzungem","titel":"Strategie zum Umgang mit und zur Vermeidung von Datenschutzverletzungen (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Introduction
\n\n
\n\n
Laws around the world impose strict data security obligations on organisations that process personal data, and in some cases require them to report data breaches to data protection authorities and individuals affected by the data breach. In addition to significant sanctions for failing to take appropriate technical and organisational measures (TOMs) to protect data, and potentially for failing to report a data breach as required by law, organisations may suffer, among other things: loss of stakeholder trust; reputational damage; and disruption of business activities as a result of a data breach, leading to economic losses. In addition, there are significant costs associated with managing a data breach and remediating the damage caused by the breach.
\n\n
\n\n
Investing in data security to prevent data breaches, such as those caused by cyberattacks or employee errors, and being prepared to respond in the event of a data breach is therefore worthwhile not only to comply with the legal obligations, but also to avoid negative consequences for the organisation and its stakeholders.
\n\n
\n\n
This chapter elaborates on what constitutes a personal data breach and what a data breach prevention and response strategy might look like. It is limited to dealing with data breaches involving personal data. It takes the requirements of the General Data Protection Regulation (GDPR) as a starting point, but without limiting itself to the GDPR. In particular, it considers the incident notification requirements under the new EU Directive on measures for a high common level of cybersecurity across the Union (NIS2), effective as of 16 January 2023, which significantly expands the categories of entities within the scope, including entities such as manufacturers of chemicals and medical devices, food processors, social network providers, and postal and courier services. With such an extension, a wide range of entities that did not fall under the former NIS Directive, will be subject to additional incident notifications. The NIS2 Directive must be transposed by the EU Member States into national law by 18 October 2024.
\n\n
\n\n
2 What is a Personal Data Breach and its Potential Consequences?
\n\n
\n\n
A personal data breach (data breach) occurs when personal data held by an organisation is lost or subjected to unauthorised access, modification, disclosure, or other misuse or interference. The GDPR defines the term “personal data breach” as a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored, or otherwise processed. Privacy laws in other jurisdictions contain similar, though not identical, definitions. An “incident,” on the other hand, is defined by NIS2 as an event compromising the availability, authenticity, integrity, or confidentiality of stored, transmitted, or processed data, or of the services offered by, or accessible via, network or information systems. We refer to a potential data breach when personal data is affected.
\n\n
\n\n
The EDPB’s Guidelines 9/2022 on Data Breach Notification under the GDPR, adopted on 28 March 2023 (previously the Working Party Opinion 03/2014 (WP29) on Data Breach Notification), divide data breaches into three security principles:
\n\n
\n\n
■ Confidentiality breach – where there is an unauthorised or accidental disclosure of, or access to, personal data.
\n\n
■ Integrity breach – where there is an unauthorised or accidental alteration of personal data.
\n\n
■ Availability breach – where there is an accidental or unauthorised loss of access to, or destruction of, personal data.
\n\n
\n\n
Examples of data breaches include: the loss or theft of a data carrier (e.g., notebook, phone, USB stick, paper files) containing unencrypted personal data of customers or employees (breach in confidentiality, and potentially availability if there is no backup for the stolen device); the successful penetration of an organisation’s computer systems containing personal data for the purpose of copying, exfiltrating, and misusing personal data for malicious purposes (breach in confidentiality and possibly integrity); a ransomware attack in which the attacker encrypts data with a malicious code and then demands a ransom from the attacked organisation in exchange for the decryption key (availability breach, and possibly confidentiality breach); the unauthorised downloading of personal data by a terminated employee for further private use (confidentiality breach); and the inadvertent disclosure of personal data by an employee to unauthorised persons inside or outside the organisation, e.g., by sending it to an incorrect address or by sending a file that inadvertently contains personal data not intended for the recipients (confidentiality breach).
\n\n
\n\n
A data breach may have various negative effects on individuals and result in physical, material and immaterial damage. It may, for example, cause the affected individual to lose control over their personal data, to be restricted in the exercise of their personal rights, to suffer financial loss or personal disadvantage, emotional distress, embarrassment or humiliation, or to suffer damage to their reputation. Possible consequences may also include identity theft or fraud, loss of employment or business opportunities, unwanted marketing or spam, reversal of pseudonymisation, or other significant economic or social disadvantages.
\n\n
\n\n
Organisations can also suffer harm as a result of a data breach. Responding to a data breach and potential subsequent complaints and implementing remedial actions may have financial, legal and resource implications. Data breaches can further result in reputational damage and loss of stakeholder trust.
\n\n
\n\n
According to the Ponemon Institute’s 2022 Cost of a Data Breach Report, the average cost of a data breach was $4.35 million in 2022. The average cost has increased by 12.7 % from $3.86 million in 2020, with costs being significantly lower for organisations with more mature security levels. The average total cost per record containing personal data was $164. The longer it took to detect the breach, the more expensive it was, with most of the costs related to detection and escalation, followed by cost of lost business (including business interruption and lost revenue due to system downtime, cost of lost customers and acquiring new customers, loss of reputation, and diminished goodwill). The remaining cost drivers were post-breach response, and notification. The costliest initial attack vectors were phishing followed by compromised business emails, vulnerability in third-party software, and stolen or compromised credentials.
\n\n
\n\n
3 Data Breach Notification Requirements
\n\n
\n\n
Many countries around the world have introduced data breach notification regulations. The first laws were enacted in the U.S. at the state level starting in 2002 (California). Other countries have followed, such as the EU Member States and the United Kingdom with the GDPR and the UK Data Protection Regulation (UK GDPR), respectively, as well as other countries around the world, such as Australia, Brazil, China, Colombia, Egypt, Ghana, Israel, Kenya, Mexico, New Zealand, the Philippines, Singapore, South Korea, Switzerland, Taiwan, Thailand and Uruguay.
\n\n
\n\n
Independent of data breach notification requirements, most countries in the world have introduced data security obligations that must be implemented by the affected entities, including data controllers and data processors. Such new legislation includes the NIS2 Directive and similar national laws, such as the UK’s Network and Information Systems Regulations 2018 (NIS Regulations) and Switzerland’s Information Security Act, as well as new EU laws related to the NIS2 Directive, such as the Critical Entities Resilience Directive (CER Directive), the EU Digital Operational Resilience Act (DORA) and the Cyber Resilience Act as part of the EU’s new digital legislative package, addressing the cyber resilience of entities across the EU.
\n\n
\n\n
NIS2 significantly expands the categories of entities falling under its scope and applies to companies active in sectors including energy, transport, banking, financial markets, health, drinking water, waste water, digital infrastructure, ICT service management, public administration and space (essential sectors), as well as postal and courier services, waste management, manufacture, production and distribution of chemicals, production, processing and distribution of food, manufacturing, digital providers and research (important sectors).
\n\n
\n\n
According to NIS2 rules, essential and important entities are required to notify their computer security incident response team (CSIRT) or, where applicable, the competent EU Member State authority of any significant incident in a multiple-stage reporting system:
\n\n
\n\n
1. an early warning without undue delay and in any event within 24 hours of becoming aware of the significant incident, which, where applicable, indicates whether the significant incident is suspected of being caused by unlawful or malicious acts or could have a cross-border impact;
\n\n
\n\n
2. an incident notification without undue delay and in any event within 72 hours of becoming aware of the significant incident, which, where applicable, should update the information provided with the early warning and indicate an initial assessment of the significant incident, including its severity and impact, as well as, where available, the indicators of compromise; and
\n\n
\n\n
3. a final report not later than one month after the submission of the incident notification, including a detailed description of the incident, specifying its severity and impact, the type of threat or root cause that is likely to have triggered the incident, applied and ongoing mitigation measures, and, where applicable, the cross-border impact of the incident.
\n\n
\n\n
The incident is significant if: (a) it has caused, or is capable of causing, severe operational disruption of the services or financial loss for the entity concerned; or (b) it has affected, or is capable of affecting, other natural or legal persons by causing considerable material or non-material damage.
\n\n
\n\n
NIS2 sets out cooperation rules for the NIS2 competent authorities and the data protection authorities, and states that in cases where an incident to be reported under NIS2 also qualifies as a notifiable data breach under the GDPR, the NIS2 competent authorities should work in close cooperation with data protection authorities under the GDPR when addressing incidents resulting in data breaches. The NIS2 competent authorities must, without undue delay, inform the data protection authorities. However, where the data protection authority competent under the GDPR is established in another Member State than the NIS2 competent authority, the NIS2 competent authority must inform the data protection authority established in its own Member State of the data breach.
\n\n
\n\n
Depending on how the NIS2 Directive is implemented in the EU Member States, it may be required for organisations covered by the NIS2 Directive to report an incident under NIS2 that also constitutes a data breach under the GDPR to the NIS2 competent authority and the data protection authorities in the EU Member States concerned (or the lead authority, if applicable).
\n\n
\n\n
The notification obligation will continue to be a challenge for companies established outside the EU. While the Art. 29 Working Party recommended in its guidelines on notification of data breaches under the GDPR, last revised 6 February 2018, that notification should be made to the data protection authority of the Member State where the controller’s representative in the EU is established, the EDPB now overturns this position in its Guidelines 9/2022 on personal data breach notification under GDPR, adopted on 28 March 2023, by clarifying that the mere presence of a representative in a Member State does not trigger the one-stop-shop system. Therefore, controllers established outside the EU without a main establishment in the EU must notify cross-border data breaches to any data protection authority in the Member States where the data subjects are located.
\n\n
\n\n
4 Data Breach Prevention and Response Strategy
\n\n
\n\n
Although security requirements and the conditions and modalities of notification obligations may vary from country to country, any organisation that processes personal data and is subject to security and notification obligations should define and implement a data security and breach management strategy to ensure adequate data security and risk mitigation in the event of an incident and be prepared to deal with any data breaches.
\n\n
\n\n
The data breach response strategy does not need to be stand-alone but can and should be aligned with other internal data-management and security strategies, e.g., information security, where possible. It should cover three key factors: prevention; response; and improvement.
\n\n
\n\n
\n\n
\n\n
4.1 Prevention – Implement appropriate TOMs
\n\n
\n\n
Even with the best possible security, data breaches cannot be completely avoided. However, data breaches are often the result of a vulnerable and outdated security regime or system weaknesses. Prevention through the adoption of appropriate security measures is therefore key to preventing vulnerabilities in systems or insufficient security that can potentially lead to a data breach.
\n\n
\n\n
Data and risk mapping: Only if organisations know what types of data breaches could occur and understand the characteristics of these breaches, can they take the necessary TOMs to reduce the risk of a successful attack or breach.
\n\n
\n\n
The basic prerequisite is first that companies know what types of data and personal data they process, who the data subjects are and their locations, where the data is stored and who should have access to it. This knowledge requires the mapping of all data systems, products and services that process personal data and their classification. Organisations should then assess the risk level to their organisation and to individuals in the case of a data breach, as well as identifying the possible types of attacks and based on that understanding and the level of risk, take the appropriate TOMs to mitigate the consequences in the case of a data breach.
\n\n
\n\n
Implementation of TOMs: Based on the risk level, such TOMs may include a state-of-the-art encryption of the data at rest and a separate back-up of the data to help mitigate the consequences of a successful ransomware attack, or the loss or theft of a device with personal data. In addition to a state-of-the-art encryption, measures such as key management, regular updates of systems, use of strong authentication methods like two-factor authentication, firewalls, etc. may help to mitigate the consequences of data exfiltration. Regular awareness campaigns and training to staff on security aspects, instructions on how to use company devices and information as well as the implementation of technical measures and controls may help to prevent human errors.
\n\n
\n\n
Applicable laws and competent authorities: Organisations should assess which data protection and other laws apply to them in case of an incident and data breach. This should include assessing whether an entity is covered by NIS2. Based on this knowledge, organisations should determine which authorities to notify in case of a NIS2 incident and data breach. This insight will help save valuable time in the event of an incident.
\n\n
\n\n
External resources and insurance coverage: Besides the implementation of robust TOMs, organisations should evaluate in advance what type of external expertise is required in the case of a data breach and ensure that such expertise is available on short notice, which may require the negotiation of frame contracts in advance. Additionally, organisations may consider holding an insurance policy for data breaches.
\n\n
\n\n
Data breach response plan: Finally, organisations should deploy a data breach response plan that sets out procedures, modalities, and responsibilities in the event the organisation experiences a data breach (or a suspected data breach, i.e., a security incident) to respond to a data breach in a timely and efficient manner.
\n\n
\n\n
4.2 Response – Implement a data breach response plan
\n\n
\n\n
4.2.1. Why a data breach response plan?
\n\n
\n\n
Due to the usually very short timelines for reporting a data breach to the data protection authorities and individuals (at least in some countries, including the EU), it is critical that each organisation handling personal data put in place a documented data breach response plan. Implementing such a plan can help organisations in: (a) mitigating the impact on the organisation and affected individuals, and the costs resulting from the data breach; (b) meeting their data security obligations; (c) protecting important business assets, including personal data of their employees and clients and the company’s reputation; (d) dealing with negative media or stakeholder attention; and (e) instilling public confidence and trust in the organisation’s capacity to protect personal data entrusted to the company by properly responding to a data breach.
\n\n
\n\n
The data breach response plan should be aligned with other plans as appropriate, such as existing security incident response, disaster recovery, business continuity, or contingency plans. This approach can ensure effective management with clear responsibilities, avoid duplication, and leverage synergies.
\n\n
\n\n
4.2.2. Content of a data breach response plan
\n\n
\n\n
A data breach response plan should establish the rules and processes on how to handle a data breach in compliance with internal standards and legal and regulatory requirements. It should outline what a data breach is, possibly providing some concrete examples tailored to the specific organisation, allocate the roles and responsibilities for detecting, responding, and documenting a data breach, describe the process for handling a data breach, from detection to notification and risk mitigation, and specify the obligations towards third parties processing the data on their behalf.
\n\n
\n\n
4.2.3. Establishment of an incident response team
\n\n
\n\n
While in small organisations the managing director or owner is often the person who deals with a data breach, usually with external assistance, establishing an incident response team has proven effective in mid-sized and larger organisations. The purpose of such a team is to ensure that in the event of a data breach, the relevant functions are immediately engaged, and data breaches can be promptly addressed, the risks assessed, and any required notifications made in a timely manner.
\n\n
\n\n
\n\n
The composition of the team will depend on the organisation and the nature of the business, but will typically require different skill sets, which can be ensured by involving internal functions and external legal, data forensics, and media management experts. Organisations should assess what type of external expertise will be needed in the event of a data breach in advance, and ensure that this expertise is available on short notice. The organisation should maintain and regularly update a current list of team members, including their roles, responsibilities, and contact details, as well as the contact information of their delegates. Team members should receive regular training including on compliance with the applicable laws and notification requirements and participate in mock exercises. The response team should consist of a core team that includes, at a minimum, the data protection officer and the information security officer, and should be extended to include other functions such as human resources, research and development, or communications, as well as outside legal counsel and forensic analysts, depending on the severity and nature of the incident.
\n\n
\n\n
The incident response team should be responsible for managing the overall data breach, investigating, and reviewing the circumstances of the data breach and the facts of the case, engaging relevant functions and external experts, assessing the level of risk, determining remediation actions, determining the need for internal escalation, and notifying data protection authorities and individuals. The data breach response plan should identify the specific responsibilities of each member of the response team.
\n\n
\n\n
Furthermore, corporate management bodies should oversee, approve and be trained on the cybersecurity measures taken by the organisation, according to the new requirements of the NIS2 Directive.
\n\n
\n\n
4.2.4. Process for responding to a data breach
\n\n
\n\n
The process for responding to a data breach typically includes different steps, starting from the detection of the data breach and reporting to the immediate containment, investigation of the data breach, risk evaluation, internal escalation, notification, and documentation.
\n\n
\n\n
\n\n
\n\n
Detection and reporting: Each employee should understand how to recognise a potential data breach and know how to report such a data breach or suspected data breach (security incident) to the incident response team, who will immediately perform a preliminary evaluation and determine whether the incident qualifies as a data breach.
\n\n
\n\n
Containment: Once the source of the data breach has been identified, the data breach should be contained immediately to prevent further exposure of personal data, for example, and depending on the concrete impact, by remediating identified vulnerabilities in systems, recovering records, shutting down the compromised system, restricting access to data, recalling sent emails containing personal data that were inadvertently attached to the email or sent to the wrong recipients, or deleting them from the accounts of the unintended recipients.
\n\n
\n\n
Investigation: The incident response team should investigate and document the facts and circumstances of the data breach, including: the causes of the data breach such as any vulnerabilities in the computer systems; the nature of the data breach (breach of confidentiality, availability, or integrity); the nature, scope, and sensitivity of the personal data involved, as well as the origin of the data; the type, number, and location of data subjects; applicable data protection laws; and notification requirements.
\n\n
\n\n
Risk evaluation: Based on the outcome of the investigation and taking into account the type of personal data compromised, the extent of the data breach, and the type and number of individuals affected by the data breach, the incident response team must assess the level of risk of the data breach to the rights and freedoms of data subjects and the organisation. To assess the level of risk, they must determine the impact that the data breach could have on the rights and freedoms of individuals and the likelihood that this impact will actually occur. The greater the impact and the greater the likelihood, the higher the risk. Essential elements for determining the impact on individuals are the ease of their identification (how easily can an individual be identified from the compromised data?) and the severity (how much harm can be caused by the data breach?). Key elements in determining the likelihood of the identified impact actually occurring are the potential vulnerabilities due to the lack of appropriate TOMs and the ability to exploit those vulnerabilities or the intent of the individuals accessing or possessing the data (was the data exfiltrated by a hacker with malicious intent or sent by an employee to the wrong recipient in the same organisation by mistake?).
\n\n
\n\n
Escalation: The data breach response plan should define the internal escalation process, which should depend on the severity and extent of the breach, the level of risk identified, and the requirement for notification.
\n\n
\n\n
Notification: The incident response team determines, based on all the facts and the risk evaluation, whether the data breach must be notified to local data protection authorities and affected individuals, and if so, when, where, and how. At the same time, the incident response team should address notification of other authorities, such as those responsible for NIS2 incidents, if the organisation is subject to NIS2 and it is a significant incident. The data breach response plan should identify which function is responsible for notifying the authorities and individuals. In general, the notification of a data breach is assigned to the data protection officer. Notification of an incident subject to other laws, such as NIS2, may be assigned to other functions. It is recommended that notifications be coordinated. It is also advantageous if scenarios requiring notification have already been worked through and documented.
\n\n
\n\n
Documentation: Any data breach, whether notified to data protection authorities and/or individuals or not, should be documented, including the facts and circumstances of the breach, its effects, and the corrective actions taken and planned to prevent future similar data breaches, the risk evaluation, and the appropriate justification for the decisions made with respect to the notification to data protection authorities and individuals.
\n\n
\n\n
4.2.5. Considerations in implementing a data breach response plan globally
\n\n
\n\n
Given the large number of countries with data breach notification requirements, globally operating companies are faced with the challenge of finding solutions that are as comprehensive and uniform as possible in order to, on the one hand, deal with data breaches uniformly and efficiently across the organisation and, on the other hand, take into account the specifics of the individual countries.
\n\n
\n\n
When implementing a data breach response plan globally, companies must take into account locally applicable data privacy and security laws, as well as notification requirements and modalities, languages, and cross-border data transfer restrictions, and align the data breach response plan accordingly. Companies should also decide what the internal reporting channel for discovered data breaches should be. Depending on their organisational set-up, they could establish one global reporting channel or separate regional or local reporting channels. Also, organisations must determine where data breaches should be documented (in a centralised system or locally), and whether a global incident response team should be deployed around the world, or regional/local response teams be established.
\n\n
\n\n
4.3 Improvement – Address security gaps to prevent future (similar) data breaches – regularly re-evaluate the data breach response plan to increase effectiveness
\n\n
\n\n
The third phase of the data breach response strategy consists of improvements in two respects: addressing identified vulnerabilities to prevent future similar data breaches; and increasing the effectiveness of the data breach response plan.
\n\n
\n\n
Address any identified security vulnerabilities to prevent future similar data breaches. Once the notification and documentation process is complete, the incident response team should determine and implement appropriate measures to prevent future similar data breaches. Depending on the concrete type of data breach and the root cause, such measures may include, for example, conducting regular security audits and reviewing and updating policies and procedures in light of lessons learned, reviewing and amending contracts with third parties to ensure the appropriate handling of data breaches. Other measures may include, for example, restricting the downloading of personal data to mobile devices without adequate security protection, such as state-of-the-art encryption or the establishment of separate backups of specific data sets, and regular training for the business units concerned.
\n\n
\n\n
Periodically re-evaluate the data breach response plan to increase its effectiveness, taking into account changes in applicable data protection laws, best practices and internal business requirements.
\n\n
\n\n
5 Conclusion
\n\n
\n\n
Data security is one of the essential obligations of any organisation that processes personal data. A breach of the confidentiality, integrity or availability of data can have negative consequences not only for the individuals concerned, but also for the responsible organisation. A data breach can result in notification obligations, significant costs to contain the data breach and repair the damage caused by the breach, as well as loss of stakeholder trust, reputational damage, and business disruption. Investing in data security to prevent data breaches, such as those caused by cyberattacks or human error, and being prepared to respond in the event of a data breach, is therefore essential for any organisation to meet its legal obligations and avoid negative consequences for itself and the individuals affected.
\n\n
\n","datum":"21.07.2023","teasertext":"
Unternehmen, die personenbezogene Daten verarbeiten, müssen weltweit strenge gesetzliche Auflagen in Bezug auf Datensicherheit und allfällige Meldungen von Datenschutzverletzungen an Datenschutzbehörden und betroffene Personen befolgen. Dieser Artikel erläutert, was eine Datenschutzverletzung ist und wie eine Strategie zum Umgang mit und zur Vermeidung von Datenschutzverletzungen aussehen könnte. Insbesondere erklärt er auch die Meldepflichten unter der neuen EU-Richtlinie über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union (NIS2-Richtlinie), die am 16. Januar 2023 in Kraft getreten ist und deren Anwendungsbereich auf neue Sektoren ausgeweitet wurde, sodass viele Organisationen, die nicht unter die frühere NIS-Richtlinie fielen, nun zusätzliche Meldepflichten beachten müssen. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n\n
\n","preview":"","datei":[],"linkextern":""},{"id":173,"title":"Vorbereitung auf das neue Schweizer Datenschutzgesetz","slug":"bereiten-sie-sich-auf-das-neue-schweizer-datenschutzgesetz-vor","link":"/de/news/bereiten-sie-sich-auf-das-neue-schweizer-datenschutzgesetz-vor","titel":"Vorbereitung auf das neue Schweizer Datenschutzgesetz","text":"
Dieses Webinar auf Mondaq, das auf dem früheren Webinar \"The new Swiss Data Protection Act - What you need to know\" aufbaut, geht spezifisch auf die Massnahmen zur Vorbereitung auf das neue Schweizer Datenschutzgesetz ein, das am 1. September 2023 in Kraft tritt.
\n\n
\n\n
Spezifische Themen wie der Geltungsbereich des Schweizer Datenschutzgesetzes (auch für Unternehmen im Ausland), die Voraussetzungen für die Bezeichnung eines Vertreters in der Schweiz sowie die besonderen Bestimmungen in Bezug auf die Informationspflicht bei der Beschaffung von Personendaten, das Verzeichnis der Bearbeitungstätigkeiten, die Datensicherheit, den Umgang mit und die Meldung von Verletzungen der Datensicherheit, Datenschutz-Folgenabschätzungen, Outsourcing und die Bekanntgabe von Personendaten ins Ausland werden behandelt und mit praktischen Umsetzungstipps ergänzt.
\n\n
\n\n
Bitte beachten Sie, dass das Webinar nur auf Englisch verfügbar ist.
\n\n
\n\n
Um das Webinar direkt auf der Mondaq Website anzuschauen, klicken Sie bitte hier.
\n\n
\n\n
Um eine deutsche Übersetzung des Webinars als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
\n","datum":"08.06.2023","teasertext":"
Dieses Webinar auf Mondaq, das auf dem früheren Webinar \"The new Swiss Data Protection Act - What you need to know\" aufbaut, geht spezifisch auf die Massnahmen zur Vorbereitung auf das neue Schweizer Datenschutzgesetz ein, das am 1. September 2023 in Kraft tritt. Bitte beachten Sie, dass das Webinar nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":172,"title":"Neues Schweizer Datenschutzgesetz - Die wichtigsten Neuerungen für Unternehmen","slug":"neues-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","link":"/de/news/neues-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","titel":"Neues Schweizer Datenschutzgesetz - Die wichtigsten Neuerungen für Unternehmen","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (nDSG) verabschiedet.2 Das nDSG sowie die neue Datenschutzverordnung (DSV) und die neue Verordung über Datenschutzzertifzierungen (VDSZ) treten am 1. September 2023 in Kraft.
\n\n
\n\n
Ziel der Revision war einerseits den Datenschutz zu stärken, indem die Transparenz von Datenbearbeitungen und die Kontrollmöglichkeiten der betroffenen Personen über ihre Daten verbessert und zugleich das Verantwortungsbewusstsein der Verantwortlichen erhöht werden.3 Ein wichtiges Ziel war auch die Wettbwerbesfähigkeit der Schweiz aufrechtzuerhalten und der Schweiz zu ermöglichen, das revidierte Datenschutzakommen SEV 108 des Europarats zu ratifizieren, sich der EU Datenschutzgrundverordnung (DSGVO) anzunähern und damit weiterhin als Drittstaat mit einem angemessenen Datenschutzniveau anerkannt zu bleiben.
\n\n
\n\n
At a Glance
\n\n
\n\n
\n
Die Grundkonzeption der «Erlaubnis der Datenbearbeitung mit Verbotsvorbehalt» (d.h. Verbot, wenn die Datenbearbeitung zu einer «widerrechtlichen Persönlichkeitsverletzung führt») bleibt bestehen. Eine Einwilligung für die Bearbeitung von Personendaten ist, auch bei Profiling und der Bearbeitung von besonders schützenswerten Daten, nach wie vor grundsätzlich nicht erforderlich. Auch die Grundsätze der Datenbearbeitung bleiben weitgehend unverändert.
\n
\n\n
\n\n
\n
Juristische Personen fallen aus dem Schutzbereich heraus. Nur noch natürliche Personen unterstehen dem Schutz des nDSG.
\n
\n\n
\n\n
\n
Der Geltungsbereich des nDSG erstreckt sich auf Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Auswirkungsprinzip).
\n
\n\n
\n\n
\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen, dafür die Begriffe «Profiling», «Profiling mit hohem Risiko» und «Verletzung der Datensicherheit» eingeführt. Genetische und biometrische Daten sowie Daten über die Zugehörigkeit zu einer Ethnie gehören neu zu den besonders schützenswerten Daten.
\n
\n\n
\n\n
\n
Die Konzepte «Privacy by Design» und «Privacy by Default» sind, wie auch schon in der EU-Datenschutz-Grundverordnung (DSGVO), nun im Gesetz verankert.
\n
\n\n
\n\n
\n
Für die Datensicherheit sind sowohl der Verantwortliche als auch der Auftragsbearbeiter verantwortlich. Ein risikobasierter Ansatz wird eingeführt.
\n
\n\n
\n\n
\n
Die Datenbearbeitung durch Auftragsbearbeiter bleibt im Wesentlichen gleich. Neu darf der Auftragsbearbeiter einen Unterauftragnehmer für die Bearbeitung der Daten nur nach vorgängiger Genehmigung des Verantwortlichen beiziehen.
\n
\n\n
\n\n
\n
Die Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters bleibt freiwillig. Vorteile einer Ernennung können sich im Zusammenhang mit der Datenschutz-Folgenabschätzung ergeben.
\n
\n\n
\n\n
\n
Neu müssen der Verantwortliche und der Auftragsbearbeiter ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Dieses Verzeichnis muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nicht gemeldet werden (bisher musste der Inhaber von Datensammlungen seine Sammlungen grundsätzlich beim EDÖB anmelden).
\n
\n\n
\n\n
\n
Unternehmen mit Sitz im Ausland, die Personendaten von Personen in der Schweiz bearbeiten, müssen künftig einen Vertreter in der Schweiz bezeichnen.
\n
\n\n
\n\n
\n
Die Voraussetzungen für die Bekanntgabe von Personendaten ins Ausland bleiben im Wesentlichen gleich. Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
\n
\n\n
\n\n
\n
Die Informationspflicht ist neu auf das Beschaffen jeglicher Personendaten ausgedehnt worden (bisher nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen) und umfasst auch automatisierte Einzelentscheidungen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss neu bei Datenbearbeitungen mit voraussichtlich hohem Risiko für die betroffene Person eine Datenschutz-Folgenabschätzung durchführen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss künftig Verletzungen der Datensicherheit dem EDÖB melden.
\n
\n\n
\n\n
\n
Betroffene Personen haben neu ein Recht auf Datenherausgabe oder -übertragung (Datenportabilität).
\n
\n\n
\n\n
\n
Der EDÖB erhält erweiterte Kompetenzen und kann neu eine Reihe von Verwaltungsmassnahmen verfügen.
\n
\n\n
\n\n
\n
Die Strafbestimmungen wurden erheblich verschärft mit Bussen bis zu 250'000 Franken für private Personen (also nicht Unternehmen!), aber nur für Verstösse in bestimmten Bereichen, insbesondere für Verstösse gegen Auskunfts-, Informations- und Mitwirkungspflichten sowie Sorgfaltspflichten bezüglich der Anforderungen an die Datenbekanntgabe ins Ausland, den Einsatz eines Auftragsberarbeiters und für die Nichteinhaltung der Mindestanforderungen an die Datensicherheit. Bussen setzen eine vorsätzliche Handlung voraus und werden in den meisten Fällen nur auf Antrag verhängt.
Das nDSG bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden. Nach geltendem Gesetz fallen auch juristische Personen unter den Schutzzweck. Mit der Streichung der juristischen Personen aus dem Schutzbereich gleicht sich das nDSG der DSGVO an, welche ebenfalls nur den Schutz natürlicher Personen bezweckt.
\n\n
\n\n
Das nDSG regelt nun auch den räumlichen Geltungsbereich. Nach Art. 3 gilt das Gesetz für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
Der Begriff \"Personendaten\" wird auf alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, beschränkt. Künftig gelten nur noch natürliche Personen, über die Personendaten bearbeitet werden, als betroffene Personen.
\n\n
\n\n
Für die Bestimmbarkeit wird dabei weiterhin von einem «relativen Ansatz» ausgegangen. Gemäss Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz6 reicht, wie auch nach geltendem Recht, die rein theoretische Möglichkeit, dass jemand identifiziert werden kann, nicht aus, um anzunehmen, eine Person sei bestimmbar. Bereits in seiner Botschaft zum DSG von 19887 hielt der Bundesrat fest, dass keine Bestimmbarkeit vorliegt, wenn «der Aufwand für die Bestimmung der betroffenen Personen derart gross ist, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird». «Vielmehr muss die Gesamtheit der Mittel betrachtet werden, die vernünftigerweise eingesetzt werden können, um eine Person zu identifizieren. Ob der Einsatz dieser Mittel vernünftig ist, muss mit Blick auf die Umstände, etwa den zeitlichen und finanziellen Aufwand für die Identifizierung, beurteilt werden. Dabei sind die zum Zeitpunkt der Bearbeitung verfügbaren Technologien und deren Weiterentwicklung zu berücksichtigen. Das Gesetz gilt nicht für anonymisierte Daten, wenn eine Re-identifizierung durch Dritte unmöglich ist (die Daten wurden vollständig und endgültig anonymisiert) oder wenn dies nur mit einem hohen Aufwand möglich wäre, den kein Interessent auf sich nehmen würde. Das gilt ebenfalls für pseudonymisierte Daten».8
\n\n
\n\n
Der Begriff «besonders schützenswerte Personendaten» ist um «Daten über die Zugehörigkeit zu einer Ethnie», «genetische Daten» und «biometrische Daten, die eine natürliche Person eindeutig identifizieren» erweitert worden. Während bei den biometrischen Daten klargestellt wurde, dass diese eine natürliche Person eindeutig identifizieren müssen, wurde dieser Zusatz bei den genetischen Daten im Differenzbereinigungsverfahren wieder gestrichen.
\n\n
\n\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen. Neu werden folgende Begriffe eingeführt:
\n\n
\n\n
\n
«Verantwortlicher»: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.
\n
\n\n
\n\n
\n
«Auftragsbearbeiter»: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.
\n
\n\n
\n\n
\n
«Profiling»: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
\n
\n\n
\n\n
\n
«Profiling mit hohem Risiko»: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
\n
\n\n
\n\n
\n
«Verletzung der Datensicherheit»: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n
\n\n
\n\n
3. Grundsätze für die Datenbearbeitung
\n\n
\n\n
Die Grundsätze der Datenbearbeitung bleiben materiell weitgehend unverändert.
\n\n
\n\n
\n
Neu wird in Art. 6 Abs. 4 ausdrücklich geregelt, dass die Daten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Die Erfüllung dieser Verpflichtung setzt voraus, dass der Verantwortliche im Vorfeld Aufbewahrungsfristen bestimmt.
\n
\n\n
\n\n
\n
Der Begriff «Persönlichkeitsprofil» wird durch «Profiling» ersetzt (siehe die Beschreibung unter «Begriffe»). Die Terminologie des Profilings war der eigentliche Knackpunkt, bei dem die Räte bis zuletzt uneinig waren und der auch in den Medien heftig diskutiert wurde. Schliesslich hat sich die Einigungskonferenz dem Antrag des Ständerates angeschlossen und die Einführung des «Profiling mit hohem Risiko» beschlossen (was mit dem heutigen Konzept des Persönlichkeitsprofils vergleichbar ist), mit der Konsequenz, dass bei dieser Art von Profiling die Einwilligung, sofern erforderlich, ausdrücklich erfolgen muss.
\n
\n\n
\n\n
Zu beachten ist, dass das nDSG kein Einwilligungserfordernis für das Profiling mit hohem Risiko einführt, sondern lediglich fordert, dass eine Einwilligung, sofern diese als Rechtfertigungsgrund nach Art. 31 nDSG überhaupt erforderlich ist, ausdrücklich erfolgen muss. Es sei daran erinnert, dass die Grundkonzeption sowohl des geltenden DSG als auch des nDSG anders ist als diejenige der DSGVO. Während nach der DSGVO für die Bearbeitung von personenbezogenen Daten immer ein Rechtsgrund erforderlich ist (Art. 6 und 9 DSGVO), ist die Bearbeitung von Personendaten nach dem DSG und nDSG grundsätzlich erlaubt, solange die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt wird. Nach dem nDSG gilt demnach weiterhin das «Erlaubnisprinzip mit Verbotsvorbehalt» während nach der DSGVO das «Verbotsprinzip mit Erlaubnisvorbehalt» gilt.
\n\n
\n\n
4. Privacy by Design und Privacy by Default
\n\n
\n\n
Neu sind die Prinzipien «Privacy by Design» und «Privacy by Default» wie wir sie bereits aus der DSGVO kennen, nun auch im nDSG verankert. In der Praxis ist der Verantwortliche schon heute verpflichtet, die Datenbearbeitung so auszugestalten, dass die Datenschutzvorschriften und die Grundsätze der Datenbearbeitung eingehalten werden. Ausdrücklich geregelt ist nun, dass der Verantwortliche verpflichtet ist, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Privacy by Default). Mehr zum Konzept können Sie in meinem Beitrag Privacy by Design als Grundvoraussetzung für die Verarbeitung personenbezogener Daten lesen (auf Englisch).
\n\n
\n\n
5. Datensicherheit
\n\n
\n\n
Der leicht revidierte Artikel 8 nDSG hält fest, dass sowohl der Verantwortliche als auch der Auftragsbearbeiter verpflichtet sind, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten. Neu wird also der risikobasierte Ansatz eingeführt. «Je grösser das Risiko einer Verletzung der Datensicherheit, umso höher sind die Anforderungen an die zu treffenden Massnahmen».9 Weitere Bestimmungen über die Mindestanforderungen an die Datensicherheit sind in Abschnitt 1 der DSV zu finden.
\n\n
\n\n
6. Datenbearbeitung durch einen Auftragsbearbeiter
\n\n
\n\n
Art. 9 nDSG übernimmt im Wesentlichen den geltenden Artikel 10a DSG. Der unglückliche Begriff «Dritte» wird mit «Auftragsbearbeiter» ersetzt. Die Bearbeitung von Personendaten kann nach wie vor vertraglich oder durch Gesetz einem Auftragsbearbeiter übertragen werden, wenn (a) die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und (b) keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. In Anlehnung an die DSGVO muss ein Auftragsbearbeiter nun die Genehmigung des Verantwortlichen einholen, bevor er einen Unterauftragnehmer für die Datenbearbeitung beizieht.
\n\n
\n\n
7. Datenschutzberaterin oder -berater
\n\n
\n\n
Verantwortliche können, müssen aber nicht, eine Datenschutzberaterin oder einen Datenschutzberater als Anlaufstelle für die betroffenen Personen und Behörden, die in der Schweiz für den Datenschutz verantwortlich sind, ernennen. Die Aufgaben der Datenschutzberaterin oder des Datenschutzberaters bestehen in der Schulung und Beratung des Verantwortlichen in Fragen des Datenschutzes und in der Mitwirkung bei der Anwendung der Datenschutzvorschriften.
\n\n
\n\n
Anders als nach dem geltenden DSG ist die Datenschutzberaterin oder der Datenschutzberater nicht dafür verantwortlich, die betriebsinterne Einhaltung der Datenschutzvorschriften zu überwachen und ein Verzeichnis der Datensammlungen zu führen.
\n\n
\n\n
Private Verantwortliche, die aufgrund ihrer Datenbearbeitung Datenschutz-Folgenabschätzungen gemäss Art. 22 nDSG durchführen müssen, haben mit der Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters einen Vorteil, sofern sie diese oder diesen konsultieren. Sie können in diesem Fall nämlich von der Konsultationspflicht des EDÖB absehen.10 Eine Konsultation ist vorgeschrieben, wenn sich aus einer Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung der Daten trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat. Voraussetzung für den Verzicht auf die Konsultationspflicht ist, dass die Datenschutzberaterin oder der Datenschutzberater (a) ihre oder seine Funktion gegenüber dem Verantwortlichen fachlich unabhängig und weisungsungebunden ausführt, (b) keine Tätigkeiten ausübt, die mit ihren oder seinen Aufgaben als Datenschutzberaterin oder Datenschutzberater unvereinbar sind, (c) über die erforderlichen Fachkenntnisse verfügt, und (d) der Verantwortliche die Kontaktdaten der Datenschutzberaterin oder des Datenschutzberaters veröffentlicht und dem EDÖB mitteilt.
\n\n
\n\n
8. Verzeichnis der Bearbeitungstätigkeiten
\n\n
\n\n
In Anlehnung an die DSGVO müssen der Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Das nDSG enthält eine Auflistung der jeweiligen Mindest-Informationen, die diese Verzeichnisse enthalten müssen. Neu muss das Verzeichnis der Bearbeitungstätigkeiten nicht mehr dem EDÖB gemeldet werden.
\n\n
\n\n
9. Vertreter in der Schweiz
\n\n
\n\n
Ähnlich wie unter der DSGVO müssen private Verantwortliche mit Sitz oder Wohnsitz im Ausland unter gewissen Voraussetzungen eine Vertretung in der Schweiz bezeichnen, wenn sie Personendaten von Personen in der Schweiz bearbeiten. Die Vertretung dient als Anlaufstelle für betroffene Personen und den EDÖB. Der Verantwortliche muss den Namen und die Adresse der Vertretung veröffentlichen. Die Voraussetzungen für die Bezeichnung des Vertreters und dessen Aufgaben werden in Art. 14 und 15 nDSG geregelt.
\n\n
\n\n
10. Bekanntgabe von Personendaten ins Ausland
\n\n
\n\n
Nach geltendem DSG dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Der EDÖB führt eine Liste mit einer generellen Einschätzung über das in den aufgeführten Ländern herrschende Datenschutzniveau. Diese unverbindliche Liste entbindet den Datenexporteur jedoch nicht von seiner Verantwortung, im Einzelfall zu prüfen, ob ein Land eine Gesetzgebung hat, die einen angemessenen Schutz bietet.
\n\n
\n\n
Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Ist dies der Fall, dürfen Personendaten ins Ausland transferiert werden. Ansonsten muss der Datenschutz durch Massnahmen gewährleistet werden, wie (a) einen völkerrechtlichen Vertrag, (b) Datenschutzklauseln zwischen den Vertragsparteien, die dem EDÖB vorgängig mitgeteilt wurden, (c) Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat (hierzu gehören die EU Standardvertragsklauseln), oder (d) verbindliche unternehmensinterne Datenschutzvorschriften (sogenannte Binding Corporate Rules - BCR), die vorgängig vom EDÖB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden (also beispielsweise die CNIL in Frankreich als Lead Authority). Der Bundesrat kann andere geeignete Garantien vorsehen. Denkbar wäre beispielsweise ein Nachfolgeabkommen des Swiss-US Privacy Shields.11
\n\n
\n\n
Abweichend von den oben genannten Grundsätzen dürfen Personendaten nur ins Ausland bekanntgegeben werden, wenn eine der Ausnahmen in Art. 17 nDSG vorliegt, wie beispielsweise die ausdrückliche Einwilligung der betroffenen Person.
\n\n
\n\n
11. Informationspflicht bei der Beschaffung von Personendaten
\n\n
\n\n
Die Informationspflicht wurde verschärft. Während heute eine Informationspflicht nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen besteht, muss neu der Verantwortliche die betroffenen Personen über die Beschaffung von Personendaten generell informieren. Die Mindestangaben, die in der Datenschutzerklärung gemacht werden müssen, sind in Art. 19 nDSG geregelt, wobei unterschieden wird, ob die Daten direkt bei der betroffenen Person beschafft wurden oder indirekt durch andere Quellen. Im Vergleich zur DSGVO sind diese Mindestangaben weniger umfassend. In einem Punkt geht das nDSG jedoch weiter als die DSGVO: Sofern Personendaten ins Ausland bekanntgegeben werden, muss der Verantwortliche den Staat des Empfängers mitteilen, unabhängig davon, ob es sich dabei um einen Staat mit angemessenem Datenschutzniveau oder um einen Drittstaat handelt.
\n\n
\n\n
Die Ausnahmen von der Informationspflicht wurden konkretisiert. Der private Verantwortliche kann weiterhin die Mitteilung der Information in gewissen Fällen einschränken, aufschieben oder darauf verzichten. Dies ist unter anderem möglich, wenn die überwiegenden Interessen des Verantwortlichen dies erfordern, und der Verantwortliche die Personendaten nicht an Dritte bekannt gibt, wobei Unternehmen, die zum selben Konzern gehören, nicht als Dritte im Sinne dieser Ausnahme gelten.
\n\n
\n\n
Neu muss der Verantwortliche grundsätzlich die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (sogenannte «automatisierte Einzelentscheidung») informieren. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird. Art. 21 nDSG sieht entsprechende Ausnahmen vor.
\n\n
\n\n
12. Durchführung von Datenschutz-Folgenabschätzungen
\n\n
\n\n
In Anlehnung an die DSGVO muss der Verantwortliche neu vor der Datenbearbeitung eine Datenschutz-Folgenabschätzung erstellen, sofern die Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Ein hohes Risiko ergibt sich, insbesondere bei der Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung (namentlich bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten und wenn systematisch umfangreiche öffentliche Bereiche überwacht werden).
\n\n
\n\n
Inhalt einer Datenschutz-Folgenabschätzung bildet die geplante Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit und die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte. Art. 22 nDSG sieht entsprechende Ausnahmen vor. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, kann eine gemeinsame Abschätzung vorgenommen werden.
\n\n
\n\n
Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so holt der Verantwortliche vorgängig die Stellungnahme des EDÖB ein. Von dieser Verpflichtung kann er absehen, wenn er eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 nDSG ernannt und diese oder diesen betreffend der in Frage stehenden Bearbeitung konsultiert hat.
\n\n
\n\n
13. Meldung von Verletzungen der Datensicherheit
\n\n
\n\n
Das nDSG führt, wie bereits aus der DSGVO bekannt, eine Meldung von Verletzungen der Datensicherheit ein, d.h. eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n\n
\n\n
Die gute Nachricht ist, dass die Meldepflicht nach nDSG etwas pragmatischer als unter der DSGVO ausgestaltet ist. Der Verantwortliche ist verpflichtet, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt, zu melden.
\n\n
\n\n
Anders als die DSGVO verlangt das nDSG für eine Meldung an den EDÖB ein hohes Risiko für die betroffene Person. Mit dieser Regelung soll verhindert werden, dass unbedeutende Verletzungen gemeldet werden. Es bleibt in der Verantwortung des Verantwortlichen, die Auswirkungen der Verletzung und das damit verbundene Risiko für die betroffenen Personen zu bestimmen.
\n\n
\n\n
Das nDSG schreibt im Gegensatz zur DSGVO keine bestimmte Frist vor, innert welcher die Mitteilung an den EDÖB erfolgen soll, sondern verlangt eine Meldung ab Kenntnisnahme so rasch als möglich. Der Verantwortliche muss schnell handeln, hat aber einen gewissen Ermessensspielraum. «Massgebend ist dabei unter anderem das Ausmass der Gefährdung der betroffenen Person. Je erheblicher die Gefährdung, je grösser die Anzahl der betroffenen Personen, umso schneller muss der Verantwortliche handeln».12 Auch muss der Verantwortliche die betroffene Person nur dann informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Massgebend ist, ob durch die Information die Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person reduziert werden können. Dies ist insbesondere der Fall, wenn die betroffene Person entsprechende Vorkehrungen zu ihrem Schutz treffen kann, zum Beispiel, indem sie ihre Zugangsdaten oder Passwörter ändert.13 Der Verantwortliche kann die Information an die betroffene Person unter gewissen Voraussetzungen einschränken, aufschieben oder darauf verzichten.
\n\n
\n\n
Der Auftragsbearbeiter hat keine eigene Meldepflicht an den EDÖB, muss aber dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit melden.
\n\n
\n\n
Art. 24 nDSG listet die Mindestanforderungen an die Meldung an den EDÖB auf.
\n\n
\n\n
14. Rechte der betroffenen Person
\n\n
\n\n
Auskunftsrecht: Das bisher in Art. 8 DSG geregelte Auskunftsrecht wird neu in Art. 25 nDSG geregelt. Der Grundsatz bleibt gleich. Der Verantwortliche teilt der betroffenen Person diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Diese Informationen entsprechen denjenigen, die schon aufgrund der Informationspflicht mitgeteilt werden müssen. Die Mindestangaben, die aufgrund eines Auskunftsgesuchs gemacht werden müssen, werden im Gesetz aufgelistet. Neu ist die Auskunftspflicht über automatisierte Einzelentscheidungen. In diesem Fall muss die betroffene Person auch über die Logik, auf der die Entscheidung beruht, informiert werden. Die betroffene Person kann verlangen, den eigenen Standpunkt zu äussern und dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
\n\n
\n\n
Die bisher geltenden Einschränkungen des Auskunftsrechts bestehen weiter. Neu kann ein Verantwortlicher das Auskunftsrecht «verweigern, einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist». Gemäss Botschaft14 ist diese Ausnahme eng auszulegen. Insbesondere muss der Verantwortliche die für die betroffene Person günstigere Lösung wählen. Er muss so weit wie möglich die Auskunft lediglich einschränken, darf sie allenfalls aufschieben und kann sie nur in den absolut eindeutigen, offensichtlichen Fällen verweigern.
\n\n
\n\n
Recht auf Datenportabilität: Neu hat die betroffene Person unter gewissen Voraussetzungen ein Recht auf Datenherausgabe oder -übertragung.15 Die betroffene Person kann verlangen, dass die Daten ihr oder, sofern dies keinen unverhältnismässigen Aufwand erfordert, einem anderen Verantwortlichen übertragen werden. Die Datenherausgabe muss grundsätzlich kostenlos und in einem gängigen elektronischen Format erfolgen. Die gleichen Einschränkungen wie zur Auskunftspflicht können geltend gemacht werden.
\n\n
\n\n
Rechtsansprüche: Die bisher geltenden Rechtsansprüche gelten weiterhin und sind in Art. 32 nDSG zusammengefasst. Das Recht auf Löschung oder Vernichtung wird im nDSG nun ausdrücklich geregelt, obwohl sich dieses implizit bereits aus dem bisherigen Recht ergibt.
\n\n
\n\n
15. Verwaltungsmassnahmen und Sanktionen
\n\n
\n\n
Dem EDÖB werden in Art. 51 nDSG erweiterte Kompetenzen gegeben. Neu kann er nicht nur Massnahmen empfehlen, sondern Verwaltungsmassnahmen auch verfügen. Zu diesen Massnahmen gehören beispielsweise Massnahmen gegen Datenbearbeitungen, die gegen die Datenschutzvorschriften verstossen, einschliesslich der Verfügung, Personendaten zu vernichten oder dem Verbot, Personendaten ins Ausland bekannt zu geben, sowie die Anordnung, eine Datenschutz-Folgenabschätzung durchzuführen oder einer betroffenen Person die Auskünfte zu erteilen. Nach wie vor kann der EDÖB keine Bussen aussprechen. Diese Kompetenz obliegt den Kantonen.16
\n\n
\n\n
Die Strafbestimmungen wurden signifikant verschärft.17 Neu können unter anderem private Personen (also anders als unter der DSGVO nicht Unternehmen!) auf Antrag mit Busse bis zu 250’000 Franken bestraft werden, wenn sie gegen ihre Informations- oder Auskunftspflichten verstossen oder ihre Sorgfaltspflichten verletzen, namentlich Personendaten ins Ausland bekanntgeben oder die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne die gesetzlichen Anforderungen zu erfüllen, oder die Mindestanforderungen an die Datensicherheit nicht einhalten. Wer dem EDÖB im Rahmen einer Untersuchung vorsätzlich die Mitwirkung verweigert macht sich ebenfalls strafbar.
\n\n
\n\n
Strafbar macht sich schliesslich auch, wer vorsätzlich eine berufliche Schweigepflicht verletzt, indem sie oder er geheime Personendaten vorsätzlich offenbart, von denen sie oder er bei der Ausübung ihres oder seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat. Mit dieser Bestimmung wird neu auch für Personen (und deren Hilfspersonen), die nicht unter das strafrechtlich sanktionierte Berufsgeheimnis fallen18, eine Schweigepflicht eingeführt. Die Verletzung der Schweigepflicht kann auf Antrag mit einer Busse bis zu 250’000 Franken bestraft werden.
\n\n
\n\n
Schliesslich wird mit einer Busse bis zu 250’000 Franken bestraft, wer vorsätzlich eine Verfügung des EDÖB oder einer Rechtsmittelinstanz unter Strafandrohung nicht befolgt.
\n\n
\n\n
Zu beachten ist, dass sich nur strafbar macht, wer vorsätzlich handelt, wobei Eventualvorsatz genügt. Addressaten der Strafbetimmungen sind grundsätzlich Leitungspersonen, also Personen, die selbständige Entscheidungsbefugnisse haben.19 Das Unternehmen kann nur dann direkt gebüsst werden, wenn die Busse nicht höher als 50'000 Franken ist und die Ermittlung der strafbaren Leitungsperson unverhältnismässige Untersuchungsmassnahmen bedingen würden.20
\n\n
\n\n
Zu beachten ist schliesslich, dass Verstösse gegen zentrale, neu im Gesetz verankerte Pflichten, wie das Führen eines Verzeichnisses der Bearbeitungstätigkeiten, die Meldung von Verstössen gegen die Datensicherheit oder die Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen, nicht direkt strafbewehrt sind.
\n\n
\n\n
Umsetzungsmassnahmen
\n\n
\n\n
Unternehmen sollten eine Datenmanagement-Analyse durchführen und ihren Konformitätsgrad mit dem nDSG sowie allfällige Lücken und Risiken identifizieren. Dabei sollte der Fokus insbesondere auf folgende Bereiche gelegt werden:
\n\n
\n\n
\n
die Governance Struktur,
\n
Datenschutz-Standards und Prozesse zur Einhaltung der Grundsätze und Datensicherheit,
\n
die Transparenz gegenüber den betroffenen Personen,
\n
das Verzeichnis der Datenbearbeitungen,
\n
die Datenflüsse innerhalb des Unternehmens und an Dienstleister (wobei hier insbesondere auch auf die neuesten Entwicklungen und das Positionspapier des EDÖB geachtet werden sollte21),
\n
die Prozesse zur Durchführung von Datenschutz-Folgenabschätzungen,
\n
Meldungen von Datensicherheitsverletzungen an den EDÖB sowie
\n
die Beantwortung von Auskunftsgesuchen.
\n
\n\n
\n\n
Unternehmen, welche bereits ein DSGVO Datenschutzprogramm eingeführt haben, werden einen geringeren Handlungsbedarf haben als Unternehmen, die nicht unter die DSGVO fallen oder noch keine entsprechenden Massnahmen ergriffen haben.
\n\n
\n\n
Viele Unternehmen werden aber ohnehin Konzepte wie Privacy by Design sowie Prozesse, die eine gesetzeskonforme Löschung oder Vernichtung der Daten und die Datenportabilität unterstützen, einführen müssen. Auch werden viele Unternehmen ihre Datenschutzerklärungen überprüfen und gegebenenfalls neu anpassen oder aber komplett neu erstellen müssen, um die Vorgaben des nDSG zu erfüllen. Verzeichnisse, welche heute Datensammlungen dokumentieren, werden ebenfalls neu strukturiert werden müssen, um Datenbearbeitungsvorgänge zu erfassen.
\n\n
\n\n
FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.
\n\n
\n\n
[1] Dieser Artikel ist eine aktualisierte Fassung des im Oktober 2020 von derselben Autorin veröffentlichten Artikels unter gleichem Titel.
[3] Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz (BBl 2017 6943)
[11] Am 8. September 2020 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) festgestellt, dass der Swiss-US Privacy Shield für die Übermittlung von Personendaten aus der Schweiz in die USA nicht mehr angemessen ist. Die Europäische Kommission und die Vereinigten Staaten kündigten im März 2022 eine «grundsätzliche Einigung» über den neuen transatlantischen Datenschutzrahmen (TADPF) an, der den Datenfluss zwischen der EU und den USA erleichtern und die Bedenken ausräumen soll, die der Europäische Gerichtshof im Jahr 2020 in der Schrems-II-Entscheidung geäussert hatte. US-Präsident Biden erliess daraufhin im Oktober 2022 die «Executive Order On Enhancing Safeguards for United States Signals Intelligence Activities» (Exekutivanordnung zur Verbesserung der Sicherheitsvorkehrungen für die Aktivitäten der US-Signalbehörden), mit der die Verpflichtungen der USA im Rahmen des TADPF umgesetzt werden. Am 13. Dezember 2022 veröffentlichte die Europäische Kommission den Entwurf eines Angemessenheitsbeschlusses, in dem sie zu dem Schluss kommt, dass der Datenschutzrahmen zwischen der EU und den USA ein angemessenes Schutzniveau für personenbezogene Daten bietet, die von EU-Unternehmen in die USA übermittelt werden. Eine endgültige Entscheidung der Europäischen Kommission wird etwa Mitte 2023 erwartet.
Das neue Schweizerische Datenschutzgesetz (nDSG) tritt zusammen mit der neuen Datenschutzverordnung (DSV) und der neuen Verordnung über die Datenschutzzertifizierung (VDSZ) am 1. September 2023 in Kraft. Das nDSG führt neue Pflichten für Unternehmen und Behörden ein, verbessert die Rechte der betroffenen Personen und verschärft die persönliche Strafbarkeit bei Verstössen gegen das Datenschutzgesetz erheblich. Was müssen Unternehmen in der Schweiz und im Ausland wissen, um eine datenschutzkonforme Datenbearbeitung sicherzustellen? Dieser Artikel fasst die wichtigsten Änderungen für Unternehmen zusammen.
\n","preview":"","datei":[],"linkextern":""},{"id":170,"title":"Was hat Datenschutz mit digitaler Transformation zu tun?","slug":"was-hat-datenschutz-mit-digitaler-transformation-zu-tun","link":"/de/news/was-hat-datenschutz-mit-digitaler-transformation-zu-tun","titel":"Was hat Datenschutz mit digitaler Transformation zu tun?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Die Digitalisierung erlaubt es, Daten immer besser und schneller zu sammeln und analysieren. Sind Personendaten involviert, muss der Datenschutz eingehalten werden.
\n\n
\n\n
Am 1. September 2023 tritt das revidierte Datenschutzgesetz (DSG) in Kraft, mit neuen Pflichten und verschärften Sanktionen.
\n\n
\n\n
Eckpunkte des revidierten DSG
\n\n
Besonders schützenswerte Daten umfassen neu genetische und biometrische Daten. Profiling und Profiling mit hohem Risiko, also die automatisierte Bearbeitung von Personendaten, um persönliche Aspekte zu analysieren oder vorherzusagen, wurden eingeführt. Jede Person kann vom Verantwortlichen die Herausgabe ihrer Personendaten, die sie diesem bekanntgegeben hat und automatisiert bearbeitet werden, in einem gängigen elektronischen Format verlangen. Verantwortliche müssen betroffene Personen über die Beschaffung von Personendaten sowie automatisierte Einzelentscheidungen informieren. Datenbearbeitungen müssen ab Planung durch geeignete Massnahmen die Einhaltung der Datenschutzvorschriften gewährleisten (Privacy by Design) und bei hohem Risiko einer Datenschutz-Folgenabschätzung unterzogen werden. Neu muss ein Bearbeitungsverzeichnis geführt werden und die Datensicherheit durch geeignete technische und organisatorische Massnahmen gewährleistet sein. Verletzungen der Datensicherheit müssen je nach Risiko dem EDÖB gemeldet werden.
\n\n
\n\n
Verschärfte Sanktionen
\n\n
Wer vorsätzlich gegen Informations-, Auskunfts oder Sorgfaltspflichten verstösst, namentlich die Datensicherheits-Anforderungen nicht einhält, Personendaten ins Ausland bekanntgibt oder ohne Erfüllung der gesetzlichen Anforderungen Auftragsbearbeiter einsetzt, riskiert eine Busse bis zu 250'000 Franken. Adressat der Busse ist nicht das Unternehmen, sondern die Leitungsperson mit entsprechender Entscheidungs- und Weisungskompetenz.
\n\n
\n\n
Was können Unternehmen tun?
\n\n
Unternehmen sollten frühzeitig ihre Bearbeitungstätigkeiten erfassen, Datenschutzerklärungen prüfen und ggf. anpassen und Prozesse zur Sicherstellung der gesetzeskonformen Umsetzung der Datenschutzanforderungen und Pflichten implementieren.
\n\n
\n","datum":"18.12.2022","teasertext":"
Die Digitalisierung erlaubt es, Daten immer besser und schneller zu sammeln und analysieren. Sind dabei Personendaten involviert, so darf der Datenschutz nicht vergessen werden. In einem Artikel im Magazin \"Ausblick 2023\" spricht Daniela Fábián Masoch über die wichtigsten Änderungen, die das Inkrafttreten des revidierten Datenschutzgesetzes per 1. September 2023 mit sich bringt, und wie Unternehmen sich darauf vorbereiten können.
\n","preview":"","datei":[],"linkextern":""},{"id":174,"title":"Das neue Schweizer Datenschutzgesetz - Was Sie wissen müssen (auf Englisch)","slug":"das-neue-schweizer-datenschutzgesetz-was-sie-wissen-muessen","link":"/de/news/das-neue-schweizer-datenschutzgesetz-was-sie-wissen-muessen","titel":"Das neue Schweizer Datenschutzgesetz - Was Sie wissen müssen (auf Englisch)","text":"
Das revidierte Bundesgesetz über den Datenschutz (DSG-Neu) tritt am 1. September 2023 in Kraft, zusammen mit den Ausführungsbestimmungen in der neuen Datenschutzverordnung (DSV) und der neuen Verordnung über Datenschutzzertifizierungen (VDSZ).
\n\n
\n\n
Obwohl die Datenschutzgrundsätze im Wesentlichen unverändert bleiben, werden Unternehmen verschiedene neue Pflichten auferlegt. Zu diesen Pflichten zählen zum Beispiel eine erweiterte Informationspflicht bei der Beschaffung von Personendaten, die Durchführung von Datenschutz-Folgenabschätzungen, die Führung eines Verzeichnisses der Bearbeitungstätigkeiten, die Einführung von Datenschutz durch Technik sowie die Meldung von Verletzungen der Datensicherheit. Zudem werden die Strafbestimmungen für natürliche Personen erheblich verschärft.
\n\n
\n\n
Da das DSG-Neu keine Übergangsfristen vorsieht, sollten Unternehmen bereits jetzt analysieren, inwiefern ihre internen Richtlinien und Prozesse im Bereich Datenmanagement die neuen Anforderungen erfüllen.
\n\n
\n\n
Dieses Webinar auf Mondaq unterstreicht die neuen Pflichten für Unternehmen und die Folgen im Falle von Nichteinhaltung. Der Handlungsbedarf für Unternehmen wird anhand von praktischen Umsetzungsbeispielen aufgezeigt. Zudem werden die wichtigsten Unterschiede im Vergleich zur EU DSGVO dargelegt.
\n\n
\n\n
Bitte beachten Sie, dass das Webinar nur auf Englisch verfügbar ist.
\n\n
\n\n
Um das Webinar als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Um das Webniar direkt auf der Mondaq Website anzuschauen, klicken Sie bitte hier.
\n","datum":"07.12.2022","teasertext":"
Dieses Webinar auf Mondaq unterstreicht die neuen Pflichten für Unternehmen und die Folgen im Falle von Nichteinhaltung. Der Handlungsbedarf für Unternehmen wird anhand von praktischen Umsetzungsbeispielen aufgezeigt. Zudem werden die wichtigsten Unterschiede im Vergleich zur EU DSGVO dargelegt.
\n","preview":"","datei":[],"linkextern":""},{"id":163,"title":"Strategie zum Umgang mit Datenschutzverletzungen","slug":"strategie-zum-umgang-mit-datenschutzverletzungen","link":"/de/news/strategie-zum-umgang-mit-datenschutzverletzungen","titel":"Strategie zum Umgang mit Datenschutzverletzungen (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Data Breach Response Strategy
\n\n
\n\n
1 Introduction
\n\n
\n\n
Laws around the world impose strict data security obligations on organisations that process personal data, and in some cases require them to report data breaches to data protection authorities and individuals affected by the data breach. In addition to significant sanctions for failing to take appropriate technical and organisational measures to protect data, and potentially for failing to report a data breach as required by law, organisations may suffer, among other things, loss of stakeholder trust, reputational damage, and disruption of business activities as a result of a data breach, leading to economic losses. In addition, there are significant costs associated with managing a data breach and remediating the damage caused by the breach.
\n\n
\n\n
Investing in data security to prevent data breaches, such as those caused by cyberattacks or employee errors, and being prepared to respond in the event of a data breach is therefore worthwhile not only to comply with the legal obligations, but also to avoid negative consequences for the organisation and its stakeholders.
\n\n
\n\n
This article elaborates on what constitutes a personal data breach and what a data breach prevention and response strategy might look like. It is limited to dealing with data breaches involving personal data and takes the requirements of the General Data Protection Regulation (GDPR) as a starting point, but without limiting itself to the GDPR.
\n\n
\n\n
2 What is a Data Breach and its Potential Consequences?
\n\n
\n\n
A data breach (also called a personal data breach or security breach) occurs when personal data held by an organisation is lost or subjected to unauthorised access, modification, disclosure, or other misuse or interference. The GDPR defines the term personal data breach as a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored, or otherwise processed. Privacy laws in other jurisdictions contain similar, though not identical, definitions.
\n\n
\n\n
In its Opinion 03/2014 on data breach notification and its Guidelines on personal data breach notification under Regulation (EU) 2016/679 (WP250rev.01), the Article 29 Data Protection Working Party divided data breaches into three security principles:
\n\n
\n\n
\n
Confidentiality breach – where there is an unauthorised or accidental disclosure of, or access to, personal data.
\n
\n\n
\n\n
\n
Integrity breach – where there is an unauthorised or accidental alteration of personal data.
\n
\n\n
\n\n
\n
Availability breach – where there is an accidental or unauthorised loss of access to, or destruction of, personal data.
\n
\n\n
\n\n
Examples of data breaches include the loss or theft of a data carrier (e.g., notebook, phone, USB stick, paper files) containing unencrypted personal data of customers or employees (breach in confidentiality, and potentially availability if there is no backup for the stolen device); the successful penetration of an organisation’s computer systems containing personal data for the purpose of copying, exfiltrating, and misusing personal data for malicious purposes (breach in confidentiality and possibly integrity); a ransomware attack in which the attacker encrypts data with a malicious code and then demands a ransom from the attacked organisation in exchange for the decryption key (availability breach, and possibly confidentiality breach); the unauthorised downloading of personal data by a terminated employee for further private use (confidentiality breach); the inadvertent disclosure of personal data by an employee to unauthorised persons inside or outside the organisation, e.g., by sending it to an incorrect address or by sending a file that inadvertently contains personal data not intended for the recipients (confidentiality breach).
\n\n
\n\n
A data breach may have various negative effects on individuals and result in physical, material and immaterial damage. It may, for example, cause the affected individual to lose control over his or her personal data or to be restricted in the exercise of his or her personal rights, to suffer financial loss or personal disadvantage, emotional distress, embarrassment or humiliation, or damage to his or her reputation. Possible consequences may also include identity theft or fraud, loss of employment or business opportunities, unwanted marketing or spam, reversal of pseudonymisation, or other significant economic or social disadvantages.
\n\n
\n\n
Organisations can also suffer harm as a result of a data breach. Responding to a data breach and potential subsequent complaints and implementing remedial actions may have financial, legal and resource implications. Data breaches can further result in reputational damage and loss of stakeholder trust.
\n\n
\n\n
According to the Ponemon Institute’s 2021 Cost of a Data Breach Report, the average total cost of a data breach increased by nearly 10% year over year. The amount increased from $3.86 million in 2020 to $4.24 million in 2021, with costs being significantly lower for organisations with more mature security levels. The average total cost was $1.07 million higher for breaches where remote work was a factor in the breach, compared to breaches where remote work was not a factor. The average total cost per record containing personal data was $161. The longer it took to detect the breach, the more expensive it was, with 38% of the costs related to lost business (including business interruption and lost revenue due to system downtime, cost of lost customers and acquiring new customers, loss of reputation, and diminished goodwill). 29% of the costs related to detection and escalation. The remaining cost drivers were post-breach response (27%), and notification (6%). The costliest initial attack vectors were business emails, followed by phishing, malicious insiders, social engineering, and compromised credentials.
\n\n
\n\n
3 Data Breach Notification Requirements
\n\n
\n\n
Many countries around the world have introduced data breach notification regulations. The first laws were enacted in the U.S. at the state level starting in 2002 (California). Other countries have followed, such as the EU Member States and the United Kingdom with the General Data Protection Regulation (GDPR) and the UK Data Protection Regulation (UK GDPR), respectively, as well as other countries around the world, such as Australia, Brazil, China, Colombia, Egypt, Ghana, Israel, Kenya, Mexico, New Zealand, the Philippines, Singapore, South Korea, Switzerland, Taiwan, Thailand and Uruguay.
\n\n
\n\n
Independent of data breach notification requirements, most countries in the world have introduced data security obligations that must be implemented by data controllers and data processors.
\n\n
\n\n
4 Data Breach Response Strategy
\n\n
\n\n
Although security requirements and the conditions and modalities of notification obligations may vary from country to country, any organisation that processes personal data and is subject to security and notification obligations should define and implement a data security and breach management strategy to ensure adequate data security and risk mitigation in the event of an incident and be prepared to deal with any data breaches.
\n\n
\n\n
The data breach response strategy does not need to be stand-alone but can and should be aligned with other internal data management and security strategies, e.g., information security, where possible. It should cover three key factors: prevention; response; and improvement.
\n\n
\n\n
4.1 Prevention – Implement appropriate TOMs
\n\n
\n\n
Even with the best possible security, data breaches cannot be completely avoided. However, data breaches are often the result of a vulnerable and outdated security regime or system weaknesses. Prevention through the adoption of appropriate security measures is therefore key to preventing vulnerabilities in systems or insufficient security that can potentially lead to a data breach.
\n\n
\n\n
Data and risk mapping: Only if organisations know what types of data breaches could occur and understand the characteristics of these breaches, they can take the necessary technical and organisational measures (TOMs) to reduce the risk of a successful attack or breach.
\n\n
\n\n
The basic prerequisite is first that companies know what types of data and personal data they process, who the data subjects are and their locations, where the data is stored and who should have access to it. This knowledge requires the mapping of all data systems, products and services that process personal data and their classification. Organisations should then assess the risk level to their organisation and to individuals in the case of a data breach as well as identify the possible types of attacks and based on that understanding and the level of risk, take the appropriate technical and organisational measures to mitigate the consequences in the case of a data breach.
\n\n
\n\n
Implementation of TOMs: Based on the risk level, such TOMs may include a state-of-the-art encryption of the data at rest and a separate back-up of the data to help mitigate the consequences of a successful ransomware attack or the loss or theft of a device with personal data. In addition to a state-of-the-art encryption, measures such as key management, regular updates of systems, use of strong authentication methods like two factor authentication, firewalls, etc. may help to mitigate the consequences of data exfiltration. Regular awareness campaigns and training to staff on security aspects, instructions on how to use company devices and information as well as the implementation of technical measures and controls may help to prevent human errors.
\n\n
\n\n
External resources and insurance coverage: Besides the implementation of robust TOMs, organisations should evaluate in advance what type of external expertise is required in the case of a data breach and ensure that such expertise is available on short notice, which may require the negotiation of frame contracts in advance. Additionally, organisations may consider holding an insurance policy for data breaches.
\n\n
\n\n
Data breach response plan: Finally, organisations should deploy a data breach response plan that sets out procedures, modalities, and responsibilities in the event the organisation experiences a data breach (or a suspected data breach, i.e., a security incident) to respond to a data breach in a timely and efficient manner.
\n\n
\n\n
4.2 Response – Implement a data breach response plan
\n\n
\n\n
4.2.1. Why a data breach response plan?
\n\n
\n\n
Due to the usually very short timelines for reporting a data breach to the data protection authorities and individuals (at least in some countries, including the EU), it is critical that each organisation handling personal data put in place a documented data breach response plan. Implementing such a plan can help organisations in (a) mitigating the impact on the organisation and affected individuals and the costs resulting from the data breach, (b) meeting their data security obligations, (c) protecting important business assets, including personal data of their employees and clients and the company’s reputation, (d) dealing with negative media or stakeholder attention, and (e) instilling public confidence and trust in the organisation’s capacity to protect personal data entrusted to the company by properly responding to a data breach.
\n\n
\n\n
The data breach response plan should be aligned with other plans as appropriate, such as existing security incident response, disaster recovery, business continuity, or contingency plans. This approach can ensure effective management with clear responsibilities, avoid duplication, and leverage synergies.
\n\n
\n\n
4.2.2. Content of a data breach response plan
\n\n
\n\n
A data breach response plan shall establish the rules and processes on how to handle a data breach in compliance with internal standards and legal and regulatory requirements. It shall outline what a data breach is, possibly providing some concrete examples tailored to the specific organisation, allocate the roles and responsibilities for detecting, responding, and documenting a data breach, describe the process for handling a data breach, from detection to notification and risk mitigation, and specify the obligations towards third parties processing the data on their behalf.
\n\n
\n\n
4.2.3. Establishment of an incident response team
\n\n
\n\n
While in small organisations, the managing director or owner is often the person who deals with a data breach, usually with external assistance, establishing an incident response team has proven effective in mid-sized and larger organisations. The purpose of such a team is to ensure that in the event of a data breach, the relevant functions are immediately engaged, and data breaches can be promptly addressed, risks assessed, and any required notifications made in a timely manner.
\n\n
\n\n
The composition of the team will depend on the organisation and the nature of the business, but will typically require different skill sets, which can be ensured by involving internal functions and external legal, data forensics, and media management experts. Organisations should assess in advance what type of external expertise will be needed in the event of a data breach and ensure that this expertise is available on short notice. The organisation should maintain and regularly update a current list of team members, including their roles, responsibilities, and contact details, as well as the contact information of their delegates. Team members should receive regular training and participate in mock exercises. The response team should consist of a core team that includes, at a minimum, the data protection officer, and the information security officer, and should be extended to include other functions such as human resources, research and development, or communications, as well as outside legal counsel and forensic analysts, depending on the severity and nature of the incident.
\n\n
\n\n
The incident response team shall be responsible for managing the overall data breach, investigating, and reviewing the circumstances of the data breach and the facts of the case, engaging relevant functions and external experts, assessing the level of risk, determining remediation actions, determining the need for internal escalation, and notifying data protection authorities and individuals. The data breach response plan should identify the specific responsibilities of each member of the response team.
\n\n
\n\n
4.2.4. Process for responding to a data breach
\n\n
\n\n
The process for responding to a data breach typically includes different steps, starting from the detection of the data breach and reporting to the immediate containment, investigation of the data breach, risk evaluation, internal escalation, notification, and documentation.
\n\n
\n\n
Detection and reporting: Each employee should understand how to recognise a potential data breach and know how to report such a data breach or suspected data breach (security incident) to the incident response team, that will immediately perform a preliminary evaluation and determine if the incident qualifies as a data breach.
\n\n
\n\n
Containment: Once the source of the data breach has been identified, the data breach should be contained immediately to prevent further exposure of personal data, for example, and depending on the concrete impact, by remediating identified vulnerabilities in systems, recovering records, shutting down the compromised system, restricting access to data, recalling sent emails containing personal data that were inadvertently attached to the email or sent to the wrong recipients, or deleting them from the accounts of the unintended recipients.
\n\n
\n\n
Investigation: The incident response team should investigate and document the facts and circumstances of the data breach, including the causes of the data breach such as any vulnerabilities in the computer systems; the nature of the data breach (breach of confidentiality, availability, or integrity); the nature, scope, and sensitivity of the personal data involved, as well as the origin of the data; the type, number, and location of data subjects; applicable data protection laws; and notification requirements.
\n\n
\n\n
Risk evaluation: Based on the outcome of the investigation and taking into account the type of personal data compromised, the extent of the data breach, and the type and number of individuals affected by the data breach, the incident response team must assess the level of risk of the data breach to the rights and freedoms of data subjects and the organisation. To assess the level of risk, they must determine the impact that the data breach could have on the rights and freedoms of individuals and the likelihood that this impact will actually occur. The greater the impact and the greater the likelihood, the higher the risk. Essential elements for determining the impact on individuals are the ease of their identification (how easily can an individual be identified from the compromised data?) and the severity (how much harm can be caused by the data breach?). Key elements in determining the likelihood of the identified impact actually occurring are the potential vulnerabilities due to the lack of appropriate TOMs and the ability to exploit those vulnerabilities or the intent of the individuals accessing or possessing the data (was the data exfiltrated by a hacker with malicious intent or sent by an employee to the wrong recipient in the same organisation by mistake?).
\n\n
\n\n
Escalation: The data breach response plan should define the internal escalation process, which should depend on the severity and extent of the breach, the level of risk identified, and the requirement for notification.
\n\n
\n\n
Notification: The incident response team determines, based on all the facts and the risk evaluation, whether the data breach must be notified to local data protection authorities and affected individuals, and if so, when, where, and how. The data breach response plan should identify which function is responsible for notifying the authorities and individuals. Generally, this task is assigned to the data protection officer. It is also advantageous if possible scenarios requiring notification have already been worked through and documented.
\n\n
\n\n
Documentation: Any data breach, whether notified to data protection authorities and/or individuals or not, shall be documented, including the facts and circumstances of the breach, its effects, and the corrective actions taken and planned to prevent future similar data breaches, the risk evaluation, and the appropriate justification for the decisions made with respect to the notification to data protection authorities and individuals.
\n\n
\n\n
4.2.4. Considerations in implementing a data breach response plan globally
\n\n
\n\n
Given the large number of countries with data breach notification requirements, globally operating companies are faced with the challenge of finding solutions that are as comprehensive and uniform as possible in order to, on the one hand, deal with data breaches uniformly and efficiently across the organisation and, on the other hand, take into account the specifics of the individual countries.
\n\n
\n\n
When implementing a data breach response plan globally, companies must take into account locally applicable data privacy and security laws, as well as notification requirements and modalities, languages, and cross-border data transfer restrictions, and align the data breach response plan accordingly. Companies should also decide what the internal reporting channel for discovered data breaches should be. Depending on their organisational set-up, they could establish one global reporting channel or separate regional or local reporting channels. Also, organisations must determine where data breaches should be documented (in a centralised system or locally), and whether a global incident response team should be deployed around the world or regional/local response teams should be established.
\n\n
\n\n
4.3 Improvement – Address security gaps to prevent future (similar) data breaches – regularly re-evaluate the data breach response plan to increase effectiveness
\n\n
\n\n
The third phase of the data breach response strategy consists of improvements in two respects: addressing identified vulnerabilities to prevent future similar data breaches; and increasing the effectiveness of the data breach response plan.
\n\n
\n\n
Address any identified security vulnerabilities to prevent future similar data breaches. Once the notification and documentation process is complete, the incident response team should determine and implement appropriate measures to prevent future similar data breaches. Depending on the concrete type of data breach and the root cause, such measures may include, for example, conducting regular security audits and reviewing and updating policies and procedures in light of lessons learned, reviewing and amending contracts with third parties to ensure appropriate handling of data breaches. Other measures may include, for example, restricting the downloading of personal data to mobile devices without adequate security protection, such as state-of-the-art encryption or the establishment of separate backups of specific data sets, and regular training for the business units concerned.
\n\n
\n\n
Periodically re-evaluate the data breach response plan to increase its effectiveness taking into account changes in applicable data protection laws, best practices and internal business requirements.
\n\n
\n\n
5 Conclusion
\n\n
\n\n
Data security is one of the essential obligations of any organisation that processes personal data. A breach of the confidentiality, integrity or availability of data can have negative consequences not only for the individuals concerned, but also for the responsible organisation. A data breach can result in notification obligations, significant costs to contain the data breach and repair the damage caused by the breach, as well as loss of stakeholder trust, reputational damage, and business disruption. Investing in data security to prevent data breaches, such as those caused by cyberattacks or human error, and being prepared to respond in the event of a data breach is therefore essential for any organisation to meet its legal obligations and avoid negative consequences for itself and individuals affected.
\n","datum":"13.07.2022","teasertext":"
Unternehmen, die personenbezogene Daten verarbeiten, müssen weltweit strenge gesetzliche Auflagen in Bezug auf Datensicherheit und allfällige Meldungen von Datenschutzverletzungen an Datenschutzbehörden und betroffene Personen befolgen. Verstösse können zu erheblichen Sanktionen, Vertrauensverlust, Imageschäden und Unterbrüchen der Geschäftstätigkeit führen. Es lohnt sich daher, in präventive Datensicherheitsmassnahmen zu investieren und vorbereitet zu sein, um im Falle einer Datenschutzverletzung richtig reagieren zu können. Dieser Artikel erläutert, was eine Datenschutzverletzung ist und wie eine Strategie zum Umgang mit Datenschutzverletzungen aussehen könnte. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":127,"title":"Juristisch \"à jour\" sein mit der digitalen Entwicklung - für Firmen heute unerlässlich","slug":"juristisch-a-jour-sein-mit-der-digitalen-entwicklung-fuer-firmen-heute-unerlaesslich","link":"/de/news/juristisch-a-jour-sein-mit-der-digitalen-entwicklung-fuer-firmen-heute-unerlaesslich","titel":"Juristisch \"à jour\" sein mit der digitalen Entwicklung - für Firmen heute unerlässlich","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Dem Thema Datenschutz kommt in einer zunehmend digitalisierten Welt grosse Bedeutung zu. Die Rechtsprechung passt sich dieser Entwicklung an, mit neuen Regularien und Gesetzen. Daniela Fábián, Gründerin von FABIAN PRIVACY LEGAL, unterstützt Unternehmen dabei, diesen Vorgaben nachzukommen.
\n\n
\n\n
Interview mit Daniela Fábián, Anwältin und Geschäftsführerin FABIAN PRIVACY LEGAL
\n\n
\n\n
Daniela Fábián, welches sind die juristischen Frage- und Problemstellungen, mit denen Ihre Kundinnen und Kunden an Sie herantreten?
\n\n
\n\n
Zu meinen Kunden gehören Konzerne, KMUs und Start-ups. Diese Unternehmen brauchen Unterstützung bei der Umsetzung der datenschutzrechtlichen Anforderungen, die sich aufgrund neuer Gesetze und der sich wandelnden Rechtsprechung ergeben. Ich unterstütze sie in der Risiko- und Bedarfsanalyse und der Entwicklung und Implementierung ihrer Datenschutzstrategie und -programme sowie bei der Beantwortung unterschiedlicher Praxisfragen. Unternehmen, die bereits ein Datenschutzprogramm implementiert haben, suchen uns auf, um sie bei der weltweiten Umsetzung ihrer globalen Datenschutzstrategie oder bei spezifischen Projekten zu unterstützen.
\n\n
\n\n
Was raten Sie Unternehmen in der Schweiz, die dieses Thema bisher noch nicht vertieft behandelt haben?
\n\n
\n\n
Mit dem totalrevidierten DSG kommen neue Pflichten auf Unternehmen zu, wie etwa erweiterte Informations- und Meldepflichten, die Durchführung von Datenschutz-Folgenabschätzungen und die Dokumentation von Bearbeitungstätigkeiten. Unternehmen müssen jetzt handeln. Zunächst sollten sie sich einen Überblick über die Ist-Situation verschaffen. Welche Personendaten bearbeiten wir und zu welchen Zwecken? Sind die betroffenen Personen informiert? Woher stammen die Daten, wo werden sie gespeichert und wer hat Zugriff darauf? Welche internen Prozesse und Regelungen bestehen? Solche und ähnliche Fragen stehen im Zentrum und helfen dabei, Lücken und Risiken zu identifizieren. Darauf basierend lässt sich eine Risikoanalyse vornehmen.
\n\n
\n\n
Um welche Risiken geht es dabei?
\n\n
\n\n
Dies unterscheidet sich je nach Unternehmen und Branche. Zum Beispiel müssen Pharma- und Medtech-Firmen, die mit sensiblen Patientendaten arbeiten, anderen Anforderungen genügen als etwa Logistikunternehmen. Der internationale Datentransfer und die Auslagerung der Datenbearbeitung können ebenfalls zu einem Risiko werden, wenn nicht alle erforderlichen Massnahmen getroffen werden. Schliessich nehmen Cyberattacken zu und ein Zuwiderhandeln gegen das DSG kann Geldbussen sowie Reputationsschäden nach sich ziehen.
\n\n
\n\n
Können Sie ein konkretes Beispiel dafür nennen, wie Firmen Ihr Fachwissen nutzen?
\n\n
\n\n
In der Regel suchen meine Kunden meine praktische Erfahrung bei der Umsetzung pragmatischer Datenschutzmanagementprogramme und -lösungen. Meine Expertise ist etwa auch bei der Entwicklung von Apps, zentralen Datenschutzmanagementsystemen oder digitalen Marketingkampagnen gefragt. Bei solchen Projekten ist es wichtig, alle relevanten Datenschutzanforderungen und -grundsätze bereits in der Konzeptionsphase in die Prozesse und Systeme einzubinden. Auch bei Verträgen mit komplexen Datenflüssen und der Beteiligung mehrerer Parteien besteht oft Unterstützungsbedarf.
\n\n
\n\n
Die digitale Technologie entwickelt sich rasant. Welche Fragen und Anliegen werden Sie und Ihre Kundinnen und Kunden künftig beschäftigen?
\n\n
\n\n
Für Schweizer Unternehmen wird neben der Umsetzung des revidierten DSG der internationale Datenfluss und damit verbunden die Überprüfung der Outsourcing-Strategie eine Priorität bleiben. Im Weiteren wird der Einsatz von künstlicher Intelligenz in vielen Bereichen weiter zunehmen, was immer auch Datenschutzfragen aufwirft sobald Personendaten involviert sind, Profile erstellt oder automatisierte Entscheide erfolgen. Auch das Konzept «Privacy by Design», gemäss dem die Datenbearbeitungsgrundsätze bereits bei der Entwicklung neuer Tools berücksichtigt und technisch umgesetzt werden müssen, wird Unternehmen aller Art zunehmend beschäftigen. Richtig umgesetzt, kann damit das Risiko von Datenschutzverletzungen und Cyberattacken reduziert werden.
\n\n
\n\n
Ihre Anwaltskanzlei ist spezialisiert auf internationales, europäisches und schweizerisches Datenschutzrecht, Governance, Risikomanagement und Programmimplementierung. Wie kam es zu dieser Spezialisierung?
\n\n
\n\n
Datenschutz begleitet mich schon seit meiner Assistenzzeit an der Uni Basel. Später arbeitete ich als In-House-Anwältin bei Novartis, wo ich unter anderem die Verantwortung für den globalen Datenschutz übernahm und für den Konzern das globale Datenschutzprogramm und die «Binding Corporate Rules» entwickelt und weltweit implementiert habe. In dieser Zeit konnte ich mir ein tiefgreifendes Wissen in diesem damals noch neuen Thema aneignen. Mit dieser Erfahrung machte ich mich Ende 2015 mit meiner eigenen Kanzlei selbstständig. Heute begleite ich Unternehmen, viele davon aus dem Pharma- und Life-Sciences-Sektor, von der ersten Analyse über die Risikoeinschätzung bis hin zur Entwicklung und Implementierung von Datenschutzprogrammen. Dazu gehört auch das Training von Mitarbeitenden, um ein durchgehendes Verständnis für die Relevanz des Themas zu kultivieren und Awareness zu schaffen. Um sicherzustellen, dass wir für alle Anliegen, einschliesslich IT-relevanter Themen und anderer Rechtsordnungen, die notwendige Expertise bereitstellen können, arbeiten wir mit Kooperationspartnern in unterschiedlichen Bereichen und in diversen Ländern.
\n","datum":"25.04.2022","teasertext":"
In einem Interview mit dem Magazin Fokus Rechtsguide erklärt Daniela Fábián Masoch, was Unternehmen tun sollten, um aus einer datenschutzrechtlichen Perspektive mit der digitalen Entwicklung Schritt zu halten und neue gesetzliche Anforderungen, wie sie zum Beispiel aus dem totalrevidierten Datenschutzgesetz hervorgehen, zu erfüllen.
\n","preview":"","datei":[],"linkextern":""},{"id":129,"title":"Privacy by Design als Grundvoraussetzung für die Verarbeitung personenbezogener Daten (auf Englisch)","slug":"privacy-by-design-as-a-fundamental-requirement-for-the-processing-of-personal-data","link":"/de/news/privacy-by-design-as-a-fundamental-requirement-for-the-processing-of-personal-data","titel":"Privacy by Design als Grundvoraussetzung für die Verarbeitung personenbezogener Daten (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Privacy By Design as a fundamental requirement for the processing of personal data
\n\n
\n\n
Privacy by design (“PbD”) is a fundamental requirement for privacy-compliant processing of personal data and is, in principle, a well-known approach. Nevertheless, PbD is often not consistently implemented, in some cases leading to significant consequences and costs for organisations. This article describes the concept of PbD and its practical implementation under the application of the European Union (“EU”) General Data Protection Regulation (EU) 2016/679 of 27 April 2016 (“GDPR”).
\n\n
\n\n
1 Introduction
\n\n
\n\n
The ongoing development of new and complex technologies such as artificial intelligence (“AI”), blockchain, or the Internet of Things (“IoT”) and their increasing use, as well as ongoing digitisation and centralisation of data management, are leading to increasingly sophisticated ways of automating the processing of enormous amounts of data, facilitating data flows and availability, profiling consumers, customers, patients, or job applicants, and making automated decisions.
\n\n
\n\n
To reap the benefits of these technologies, digitisation, and new business models in connection with the processing of personal data, those who develop or deploy them must consider and implement applicable data protection principles and requirements through appropriate and adequate technical and organisational measures from the outset, already at the design stage, and continuously monitor, adjust and update them throughout the lifecycle of the system, product, or process.
\n\n
\n\n
With this PbD approach, a company can ensure compliance with legal requirements, meet the expectations of individuals and stakeholders, build trust, make strategic and operational decisions with foresight and efficiently implement business processes. This can include, for example, storing data on servers in the EU or Switzerland instead of in the U.S.A. or purchasing software with integrated data protection principles.
\n\n
\n\n
PbD has become a critical factor in building and maintaining trust, competitiveness and success in the marketplace.
\n\n
\n\n
2 The Concept of PbD
\n\n
\n\n
The concept of PbD is a fundamental requirement for the effective implementation of data protection. In essence, PbD requires that controllers consider data protection principles and requirements both at the design stage of systems, processes, products or services that involve the processing of personal data, and throughout the lifecycle of personal data, and that they provide for appropriate technical and organisational measures (“TOMs”) to implement data protection requirements and protect the rights of data subjects. Controllers must be proactive and anticipate potential privacy intrusions before they occur.
\n\n
\n\n
One of the fundamental elements of PbD is “privacy by default”. This concept requires that the controller implements appropriate TOMs to ensure that, by default, only personal data that is necessary to fulfil the specific purpose is processed. PbD must be implemented in terms of the amount of data collected, the scope of its processing, the duration of its storage, its security, and its accessibility.
\n\n
\n\n
While the concept of PbD has long existed as good practice, it was introduced as a legal obligation for controllers in Art. 25 GDPR, with significant fines for non-compliance. In introducing the PbD concept, the legislator primarily wanted to emphasise that it is not enough to set standards, and that the controller must also implement these standards in an effective and verifiable manner. Other laws have also adopted the concept of PbD, most recently the new Swiss Federal Act on Data Protection (“nFADP”), which is expected to come into force in 2022. However, unlike the GDPR, under the nFADP a breach of the new PbD obligation will have no direct consequences.
\n\n
\n\n
However, neither the GDPR nor the nFADP specify how the controller should implement PbD in practice.
\n\n
\n\n
So far, the introduction of processes and the designation of responsibilities for the systematic and timely assessment of the planned data processing, the technologies and systems used for this purpose and the data protection risks for the data subjects have proven effective. This risk assessment aims to identify the technical and organisational measures required to effectively integrate data protection principles and requirements into the design of the respective products, systems or processes and to protect the privacy of the data subjects. Risks to data subjects include, for example, excessive collection and disclosure of personal data, processing of data for purposes other than the original purpose, unlawful processing, as well as loss, destruction or alteration of data.
\n\n
\n\n
Such a risk assessment, coupled with a compliance assessment, is required for any processing of personal data, including, for example, the implementation of a Customer Relation Management (“CRM”) or HR data management system or the outsourcing of data processing, regardless of the technology used or the sensitivity of the data. While similar, this risk and compliance assessment is not a data protection impact assessment (“DPIA”) as required under Art. 35 GDPR.
\n\n
\n\n
A controller must conduct a DPIA only if the processing is likely to present a high risk to data subjects’ rights and freedoms. A DPIA is a broader assessment that goes beyond a compliance assessment by evaluating the residual risks to data subjects, taking into account the TOMs embedded in the design of the product, system or process. If the residual risk is still considered high, the controller must take further measures to mitigate the risk. If this is not possible, the controller must consult the data protection authority or refrain from processing. A DPIA will be regularly required for digital health solutions where health-related data or other special categories of data are processed. A DPIA will also be regularly required for the use of innovative or combined technologies and extensive profiling.
\n\n
\n\n
3 Implementing PbD In Practice
\n\n
\n\n
3.1 Technical and organisational measures
\n\n
\n\n
The controller must implement TOMs both at the time of determining the means of processing and during the processing itself. The TOMs must be adequate and appropriate to:
\n\n
\n\n
\n
effectively implement data protection principles, such as data minimisation, lawfulness, transparency, confidentiality, purpose limitation, data integrity, storage duration, security, as well as the requirements concerning commissioned data processing and cross-border data transfers;
\n
integrate the necessary safeguards into the processing to meet the requirements of the GDPR; and
\n
protect the rights of data subjects.
\n
\n\n
\n\n
A measure is adequate if it considers state of the art, the cost of implementation, the nature, scope, context and purposes of the processing, and the risks of varying likelihood and severity to natural persons’ rights and freedoms.
\n\n
\n\n
Technical measures may include, for example:
\n\n
\n
robust encryption methods for systems and data;
\n
pseudonymisation or aggregation of the data;
\n
access authorisations and restrictions;
\n
user authentication;
\n
firewalls; and
\n
automated deletion concepts.
\n
\n\n
\n\n
Organisational measures may include, for example:
\n\n
\n
the assignment of responsibilities for the effective implementation of data protection requirements;
\n
the implementation of enforceable policies and procedures for handling and documenting data privacy violations and requests for information from data subjects, risk management, third-party vendor management, data transfer management, and the documentation of processing activities;
\n
the implementation of training and controls; and
\n
the establishment of processes to ensure data protection rights, such as revoking consent or requesting erasure of the data.
\n
\n\n
\n\n
3.2 Data Protection Management System
\n\n
\n\n
One effective way to implement PbD in practice is to build a data management and risk assessment programme with responsibilities and a process to systematically identify, evaluate, address and mitigate potential privacy and security risks associated with the collection and processing of personal data. A Data Protection Management System should include the following elements:
\n\n
\n\n
\n
a documented commitment by the company’s management to establish and enforce high standards of data protection for the company, to integrate data protection into the corporate culture and embed the data protection principles in the design and implementation of corporate policies, data protection management systems, business practices, services and products;
\n
\n\n
\n
the appointment of a data protection officer or advisor and the allocation of responsibilities at all levels of the organisation, including business units and functions, for the effective implementation of data protection requirements;
\n
the establishment of a data protection framework with enforceable data protection policies and guidelines that attach appropriate importance to data protection and regulate the collection, processing, transfer, storage and deletion of data, as well as mechanisms to monitor implementation and compliance with standards and rules;
\n
the application of appropriate processes to ensure that data protection principles and requirements are adequately taken into account and integrated into data processing procedures and that the PbD principle is thus lived;
\n
\n\n
\n
the introduction of records of processing activities (“RoPA”);
\n
risk management with risk assessments, compliance checks and, where appropriate, data protection impact assessments;
\n
third-party management and data transfer governance;
\n
regular and documented awareness campaigns and conducting employee trainings; and
\n
regular and documented monitoring and controls through self-assessments and audits to verify the effective implementation of the data protection management programme and compliance with legal requirements and internal policies and directives.
\n
\n\n
\n\n
3.3 Data protection considerations and design strategies
\n\n
\n\n
Applicable laws
\n\n
The controller must clarify the applicable laws and regulations. In particular, organisations outside the EU must determine whether the GDPR applies to them and their activities. The controller should also check whether industry-specific codes of conduct, certification systems, regulatory decisions or guidelines apply to the planned data processing and take into account ethical considerations.
\n\n
\n\n
Involved parties
\n\n
It is then necessary to identify which parties are involved in the data processing or the development and use of the system, service or product, and their role (e.g., controller or processor). Several parties may be jointly responsible for the data processing. Identifying the data controller, i.e., the party that alone or jointly with others decides the means and purposes of data processing, is essential to determine who is responsible and accountable for compliance with data protection requirements under the GDPR.
\n\n
\n\n
Legal justification
\n\n
For all personal data processing, controllers must rely on one of the legal bases set out in Art. 6 and 9 of the GDPR, most used are: the legitimate interest; performance of a contract; legal obligation; or consent.
\n\n
\n\n
In health or medical apps collecting and processing special categories of patient or consumer data, the processing of this data will regularly require the data subjects explicit consent. In this case, consent must be voluntary and specific to each functionality that serves a distinct purpose. Consent must further be based on prior information. In the case of special categories of data, the use of cookies or location data, the data subject must provide explicit consent through positive action, such as downloading the app and ticking a consent box. Also, controllers must have a procedure in place that allows for easy withdrawal of consent and, on the other hand, ensures that in the event of withdrawal, the data collected will not be further processed.
\n\n
\n\n
Proportionality and data minimisation
\n\n
Personal data must be adequate, relevant, and limited to what is necessary for the purposes for which it is processed. This means that systems, apps and devices that store or process personal data should be set up so that only the data necessary for the individual purpose or the proper functioning of the system, app or device is stored and processed.
\n\n
\n\n
The principle of data minimisation can be achieved in different ways, for example, by reducing the amount of personal data collected and processed or by making it more difficult or impossible to assign the data to an individual.
\n\n
\n\n
Depending on the functionalities of the system, app or product and the purpose of the processing, the controller must therefore assess for each data set to be collected whether this data is indeed necessary to fulfil the purpose or whether the purpose can be fulfilled with less data (reduction of data volume) or pseudonymised/anonymised data (making identification difficult or impossible). A further distinction must be made between mandatory data and voluntary data that can be additionally provided for the use of certain functionalities.
\n\n
\n\n
Another measure that the controller can take to achieve the data minimisation requirement is to prevent the linking of personal data stored in different systems for different purposes.
\n\n
\n\n
Transparency and fair processing
\n\n
Personal data must be processed transparently and fairly. Data subjects should have full transparency and control over the processing of their data and understand what data is being processed, why, by whom, where and for how long, and how they can exercise their data protection rights. The processing of personal data should neither violate applicable laws, nor be unexpected to the data subject.
\n\n
\n\n
The privacy notice should be easily accessible to data subjects at any time, before the collection of personal data and throughout the processing. Users of apps, for example, should be notified before the download of the app. The notice should be easy to understand and, where appropriate, translated in different languages.
\n\n
\n\n
Confidentiality and access to personal data
\n\n
Personal data must be kept strictly confidential and may only be provided or disclosed to individuals on a need-to-know basis to fulfil the legitimate purposes for which the data was collected.
\n\n
\n\n
Special attention is required for centralised data management systems. In this case, the controller should establish data access and restriction policies and limit the access through technical means.
\n\n
\n\n
Purpose limitation
\n\n
Personal data shall only be collected for specified, explicit and legitimate purposes and shall not be further processed in a way incompatible with those purposes.
\n\n
\n\n
The controller should determine the processing purposes and communicate them to the data subjects. The functionalities of the system, app or product should be set up to ensure that personal data is only processed for these purposes. The controller must also determine who should have access to which data for which purposes and implement these regulations through technical measures as well as instructions, training and controls.
\n\n
\n\n
If the personal data is to be processed later for purposes other than those communicated, it should be anonymised, unless there is another legal basis for this secondary use. In any case, data subjects should be informed in advance about the use of their data for any secondary purpose and, unless there is another legal basis, their consent should be obtained.
\n\n
\n\n
Data quality
\n\n
The personal data stored must be accurate and, where necessary, kept up to date, and all reasonable steps must be taken to ensure that inaccurate personal data is erased or rectified without delay.
\n\n
\n\n
The controller must have mechanisms in place to ensure that data is accurate at the time of collection and is not unlawfully altered thereafter. There must be a mechanism to correct or delete inaccurate data.
\n\n
\n\n
Data retention
\n\n
Personal data must be kept in a form that permits the identification of data subjects for no longer than is necessary for the purposes for which the personal data is processed, unless regulatory or legal requirements necessitate a longer or shorter retention period.
\n\n
\n\n
The controller should establish a data retention and deletion policy and determine a retention period for each data set based on the purpose of the processing and, where applicable, legal and regulatory retention periods.
\n\n
\n\n
The controller must also define mechanisms, including automated solutions where appropriate, and responsibilities for the effective deletion of data. If the data cannot be deleted, it must be anonymised or, if this is not possible, pseudonymised.
\n\n
\n\n
Data security
\n\n
Personal data must be processed in a manner that ensures appropriate security of the data, including protection against unauthorised or unlawful processing and accidental loss, destruction or damage, using appropriate TOMs. These measures should include data integrity and confidentiality, availability, resilience and traceability, and ensure a level of security appropriate to the risk to the rights of data subjects.
\n\n
\n\n
Appropriate control access mechanisms and authentication measures should be embedded in the system infrastructure to detect and monitor unauthorised access to data. Personal data should be protected by strong and robust state-of-the-art encryption, both in transit and in storage. Special attention is required when data is stored in the cloud.
\n\n
\n\n
Privacy rights
\n\n
Data subjects have various data protection rights, including the right to information, access, rectification and erasure, restriction of processing, data portability and the right to object to automated individual decision-making. They also have the right to complain to the competent supervisory authority if they feel their rights are being violated or their data is not adequately protected. The controller must define processes to ensure that data can be corrected, deleted or transferred at the data subjects’ legitimate request. For apps in particular, the controller should consider whether users should be able to exercise their rights directly through the app, if necessary, by accessing the data and correcting or deleting it if inaccurate.
\n\n
\n\n
Data processing by third parties and cross-border data transfers
\n\n
Depending on the roles of the contributors in the development, management and use of the system, app or product and the data processed, the controller must establish appropriate contractual obligations to ensure data protection.
\n\n
\n\n
Before sharing any personal data with a processor, the controller must verify that the processor implements appropriate TOMs to ensure compliance with the data protection requirements and data subjects’ privacy rights.
\n\n
\n\n
If personal data is to be transferred to third parties outside the European Economic Area (“EEA”) to a country without a formal adequacy decision by the European Commission, appropriate safeguards, such as EU standard contractual clauses (“SCCs”), must be implemented to legitimise cross-border data transfers, unless an exemption pursuant to Art. 49 GDPR applies, such as the explicit consent of the data subject.
\n\n
\n\n
Before transferring the data, the controller, respectively the data exporter, must check whether the destination country ensures an adequate protection level equivalent to that in the EU. If this is not the case, the data exporter should consider storing and processing the data in the EU or an adequate country. If this is not an option, additional contractual, technical and organisational measures must be taken, such as pseudonymisation or encryption of the data while keeping the encryption key in the EU and separate from the service provider.
\n\n
\n\n
4 Conclusion
\n\n
\n\n
Consistent and sustainable compliance with data protection requires the strategic and conceptual integration of data protection principles in all business practices, the organisational structure, the development of rules, IT systems and products.
\n\n
\n\n
To fully exploit the benefits of new technologies and ensure their effectiveness, it is essential to embed fundamental data protection principles into the design of these solutions, taking into account organisational, process and system-related risks, as well as risks to the rights of data subjects.
\n\n
\n\n
PbD is not only required by the GDPR and partly by laws of other countries outside the EEA. It is a prerequisite for the effective and sustainable implementation of data protection, the basis for the smooth functioning of data protection management, and a critical factor in achieving the necessary trust of employees, customers, patients and consumers, public authorities, business partners and other stakeholders in the use of new technologies and the processing of their personal data.
\n\n
\n","datum":"06.07.2021","teasertext":"
Privacy by Design oder Datenschutz durch Technikgestaltung ist eine Grundvoraussetzung für die gesetzeskonforme Verarbeitung personenbezogener Daten und als solche ein allgemein bekanntes Konzept. Dennoch wird Privacy by Design oftmals nicht konsequent umgesetzt, was für die betroffenen Unternehmen zu weitreichenden Konsequenzen und Kosten führen kann. Dieser Artikel erläutert das Konzept von Privacy by Design und seine praktische Umsetzung in Anwendung der EU-Datenschutz-Grundverordnung. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":130,"title":"Das revidierte Datenschutzgesetz - Handlungsbedarf für Unternehmen?","slug":"das-revidierte-datenschutzgesetz-handlungsbedarf-fuer-unternehmen","link":"/de/news/das-revidierte-datenschutzgesetz-handlungsbedarf-fuer-unternehmen","titel":"Das revidierte Datenschutzgesetz - Handlungsbedarf für Unternehmen?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Das Schweizer Parlament hat im September 2020 das revidierte Datenschutzgesetz verabschiedet, welches voraussichtlich 2022 in Kraft treten wird. Daniela Fábián Masoch, Rechtsanwältin und Datenschutzexpertin, erklärt, welche Pflichten auf Unternehmen zukommen und wie sich diese vorbereiten können.
\n\n
\n\n
Datenschutz hat in den vergangenen Jahren stark an Bedeutung gewonnen. Konsumenten, Kunden, Patienten und Arbeitnehmer, aber auch Führungskräfte und Behörden sind zunehmend sensibilisiert und haben hohe Erwartungen an den Schutz von Personendaten. Infolgedessen wurden die Datenschutzgesetze weltweit entsprechend verschärft.
\n\n
\n\n
Unter dem revidierten Schweizer Datenschutzgesetz (nDSG) bleibt die Bearbeitung von Personendaten grundsätzlich erlaubt. Unternehmen müssen aber in Zukunft eine ganze Reihe neuer oder erweiterter Vorschriften befolgen.
\n\n
\n\n
Welche neuen Pflichten kommen auf Unternehmen zu?
\n\n
\n\n
Erweiterte Informationspflicht: Künftig müssen Unternehmen betroffene Personen bei der Beschaffung von Personendaten informieren (bisher nur besonders schützenswerte Daten und Persönlichkeitsprofile), wobei das Gesetz Mindestangaben vorschreibt. Konkret bedeutet dies, dass Unternehmen ihre Datenschutzerklärungen überprüfen und ggf. anpassen oder komplett neu erstellen und den betroffenen Personen mitteilen müssen.
\n\n
\n\n
Privacy by Design (PbD): Unternehmen sind künftig verpflichtet, geplante Datenbearbeitungen so auszugestalten, dass die datenschutzrechtlichen Vorschriften und die Grundsätze der Datenbearbeitung eingehalten werden. PbD ist jedoch nicht bloss als neue Verpflichtung zu verstehen, sondern vielmehr als Grundvoraussetzung für einen verantwortungsvollen und effektiven Datenschutz. Eine wirksame Umsetzung der Datenschutzgrundsätze setzt voraus, dass Unternehmen proaktiv handeln und potenzielle Risiken für die Privatsphäre von betroffenen Personen antizipieren.
\n\n
\n\n
Datenschutz-Folgenabschätzung: Unternehmen müssen künftig für Datenbearbeitungen, die ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen können, eine Datenschutz-Folgenabschätzung durchführen. Sie müssen die Risiken für die betroffene Person vorgängig bewerten und geeignete Massnahmen zum Schutz ihrer Persönlichkeit und Grundrechte ergreifen. Dies kann beispielsweise bei einer umfangreichen Bearbeitung von besonders schützenswerten Daten der Fall sein, aber auch bei der Verwendung neuer Technologien.
\n\n
\n\n
Verzeichnis der Bearbeitungstätigkeiten: Unternehmen sind neu grundsätzlich verpflichtet, ein Verzeichnis ihrer Bearbeitungstätigkeiten zu führen. Ein solches Verzeichnis kann, wenn es sorgfältig geführt und mit zusätzlichen Informationen ergänzt wird, durchaus einen Vorteil haben, nämlich als Grundlage für Konformitätsprüfungen und Datenschutz-Folgenabschätzungen dienen.
\n\n
\n\n
Meldung von Verletzungen der Datensicherheit: Wie bereits unter der EU-Datenschutz-Grundverordnung (DSGVO) müssen Unternehmen in Zukunft Verstösse der Datensicherheit (wie z. B. unberechtigte Datenzugriffe) je nach Risiko dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden und die betroffenen Personen informieren.
\n\n
\n\n
Welche Sanktionen drohen Unternehmen, wenn sie die gesetzlichen Anforderungen nicht einhalten?
\n\n
\n\n
Im Unterschied zur DSGVO wird grundsätzlich nicht das Unternehmen, sondern die verantwortliche natürliche Person mit Bussgeldern von bis zu CHF 250'000 belegt. Strafbar macht sich insbesondere, wer gegen die Informations- oder Auskunftspflicht verstösst oder die Sorgfaltspflichten verletzt, namentlich die Mindestanforderungen an die Datensicherheit nicht einhält, Personendaten ins Ausland bekanntgibt oder die Datenbearbeitung einem Auftragsbearbeiter überträgt, ohne die gesetzlichen Anforderungen zu erfüllen. Bussen setzen allerdings eine vorsätzliche Handlung voraus und werden in den meisten Fällen nur auf Antrag verhängt.
\n\n
\n\n
Handlungsbedarf für Unternehmen?
\n\n
\n\n
Da das nDSG keine Übergangsfristen vorsieht, sollten Unternehmen frühzeitig prüfen, inwieweit ihre internen Regelungen und Prozesse betreffend Datenmanagement mit den neuen Anforderungen übereinstimmen.
\n\n
\n\n
Insbesondere müssen Konzepte wie Privacy by Design umgesetzt und Prozesse eingeführt werden, die eine gesetzeskonforme Löschung oder Vernichtung der Daten und die Datenportabilität unterstützen sowie die Durchführung von Datenschutz-Folgenabschätzungen und die rechtzeitige Meldung von Datensicherheitsverstössen sicherstellen. Datenschutzerklärungen müssen überprüft und gegebenenfalls an die Anforderungen des nDSG angepasst werden. Verzeichnisse, die derzeit Datensammlungen dokumentieren, müssen neu strukturiert werden, um zukünftig Bearbeitungsaktivitäten zu erfassen.
\n\n
\n","datum":"26.02.2021","teasertext":"
Das Schweizer Parlament hat im September 2020 das revidierte Datenschutzgesetz verabschiedet, welches voraussichtlich 2022 in Kraft treten wird. In einem im Magazin Bilanz erschienenen Artikel erklärt Daniela Fábián Masoch, welche Pflichten auf Unternehmen zukommen und wie sich diese vorbereiten können.
\n","preview":"","datei":[],"linkextern":""},{"id":131,"title":"Transfer von Personendaten aus der EU im Jahr 2021: erhöhte Aufmerksamkeit gefordert (auf Englisch)","slug":"transfer-von-personendaten-aus-der-eu-im-jahr-2021-erhoehte-aufmerksamkeit-gefordert","link":"/de/news/transfer-von-personendaten-aus-der-eu-im-jahr-2021-erhoehte-aufmerksamkeit-gefordert","titel":"Transfer von Personendaten aus der EU im Jahr 2021: erhöhte Aufmerksamkeit gefordert (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
EU Personal Data Transfers 2021: Planning for a Year of Increased Scrutiny
\n\n
\n\n
By Dan Goldstein, Co-Founder, Tueoris, LLC and Daniela Fábián Masoch, Founder FABIAN PRIVACY LEGAL
\n\n
\n\n
As 2021 begins, ex-EU transfers of personal data continue to pose a challenge for data privacy professionals. While new Standard Contractual Clauses (“SCCs”) appear promising, the lingering impact of the Schrems II decision along with the European Data Protection Board’s Draft Recommendations on Measures that Supplement Transfer Tools1 (the “EDPB Recommendations”) are likely to leave exporters and importers of European resident personal data spending valuable time focused on data transfer risk mitigation strategies.
\n\n
\n\n
Across Europe, Data Protection Authorities maintain a consistent view that countries with laws or practices that allow government “generalized” access to the content of electronic communications do not provide privacy safeguards essentially equal to those in EU member states. Such laws or practices are viewed as impinging on the effectiveness of safeguards contained in the EU General Data Protection Regulation (“GDPR”). Parties relying on SCCs or Binding Corporate Rules (“BCRs”) for transfers to such countries must identify and implement, on a case-by-case basis, supplementary measures that elevate protections to a level equal to EU law.
\n\n
\n\n
Prior to determining whether such measures will be adequate, parties to a transfer should – in line with the EDPB Recommendations – undertake to ascertain a complete view of the data transfers taking place within the lifecycle of defined processing activities. Upon gaining a holistic view of these data flows, the parties should then conduct Transfer Impact Assessments (“TIAs”) to determine risks the transfers to data importers and sub-processors pose to the data subjects, as well as compliance risks faced by the parties to the transfers. Where those TIAs uncover risks of government access to personal data, supplementary controls will be necessary. However, controls considered adequate by EU authorities may be limited.
\n\n
\n\n
Know Your Data Flows
\n\n
\n\n
The logical starting point for compliant ex-EU personal data transfers is to fully understand where EU personal data is flowing within and outside of your organization. The EDPB acknowledges in its Recommendations that “recording and mapping all transfers can be a complex exercise”, but also stresses that awareness of personal data flows is “necessary to ensure that it is afforded an essentially equivalent level of protection wherever it is processed”.
\n\n
\n\n
Since the GDPR came into effect in 2018, most organizations processing EU resident personal data have spent time and effort to understand the flow of such data, typically by recording the characteristics of processing activities in accordance with GDPR Article 30. However, Article 30 records often fall short in capturing a holistic view of personal data flows across an organization’s third-party ecosystem and the countries in which those parties are located.
\n\n
\n\n
Conducting a thorough and detailed exercise to create visual depictions of data flows (i.e., data mapping) enables the identification of transfers not only to ex-EU importers, but also subsequent third-party transfers throughout the personal data lifecycle .
\n\n
\n\n
To design and implement reasonable security controls, the organization must first understand the nature of the data that must be secured. A successful data mapping initiative will not only map the flow of personal data, but also identify and depict the specific personal data elements involved in the process, facilitating the development of tailored safeguards necessary for each transfer throughout the data lifecycle. These detailed data maps become a highly valuable tool, not only to determine security controls commensurate to the risks to the data subjects, but also to demonstrate appropriate diligence to regulatory authorities should transfers come under scrutiny.
\n\n
\n\n
Transfer Impact Assessments
\n\n
\n\n
Overview
\n\n
\n\n
In line with the EDPB Recommendations, it has become imperative to conduct a TIA prior to transferring EU resident personal data to parties in non-adequate countries2. TIAs must be conducted for prospective transfers of EU data to recipients in non-adequate countries, as well as current, ongoing transfers (and should assess any onward transfers). As such, in addition to conducting TIAs for transfers identified in the data mapping exercise, a TIA should be triggered prior entering into contracts with service providers that will require ex-EU transfers of EU personal data.
\n\n
\n\n
A thorough TIA will consider numerous risk factors, however whether the laws or practices of the country where the importer is located impinge on the effectiveness of the safeguards of the transfer tool being used (e.g., SCCs) is of primary importance to EU authorities. For transfers of EU personal data to the US, the prevailing EU view is that Section 702 of the U.S. Foreign Intelligence Surveillance Act does not adequately safeguard privacy rights under EU law. Thus, transfers being made to US recipient using transfer mechanisms such as SCCs or BCRs must be supplemented with additional measures to limit government access. Notably, even considering what may be viewed as a rather black or white view of Section 702, the EDPB Recommendations do recognize that an organization’s TIAs should consider the context of the specific transfer – an important point, as different activities will carry widely different risks of government access.
\n\n
\n\n
Conducting the TIA
\n\n
\n\n
TIAs must be conducted diligently and be thoroughly documented, as Data Protection Authorities will expect a TIA to be available if a transfer comes under their scrutiny. Developing and implementing a standard and repeatable TIA methodology supports outcomes that meet EU authorities’ expectations.
\n\n
\n\n
A TIA which includes a series of questions with “scored” answers allows the organization to consistently quantify results and create requirements for completed TIAs that fall within various score ranges. For example, a score within a defined low-risk range might allow a transfer to go ahead without further action. A score within a defined medium-risk range might require implementation of supplementary measures to bring the level of protection to an EU level, and review and approval by the Chief Privacy Officer. A score within a defined high-risk range might require review by the Chief Privacy Officer and may lead to a decision to suspend or stop the transfer.
\n\n
\n\n
The EDPB emphasizes that the TIA should primarily focus on the laws of the country to which the transfer will be made, and, specifically, on factors indicating whether government authorities in that country will seek access to the data. In addition to these objective factors, it is useful – in order to obtain an overall risk score indicating appropriate technical, contractual and organizational measures – to consider other aspects of the data and transfer as well (“context”). This context helps to establish relative likelihood of government requests for EU personal data for transfers made for widely disparate purposes. For example, a transfer initiated by a data subject to manage their customer preferences will pose different risks of government access than a transfer of a large volume of personal data of EU resident social media users to a US importer.
\n\n
\n\n
In establishing the TIA risk criteria, consideration should be given to additional factors such as:
\n\n
\n\n
\n
Purpose of the transfer;
\n
Exporting party (category);
\n
Data subject type;
\n
Types of data transferred;
\n
Volume of data transferred;
\n
Manner in which access is provided to the importer (e.g., limited push or unlimited pull);
\n
Frequency of transfers;
\n
Onward transfers (including category of sub-processor and purpose); and
\n
Security controls in transit;
\n
Importer security controls;
\n
History of government access requests to the importer; and
\n
History of government access requests to similarly situated importers.
\n
\n\n
\n\n
While the EDPB does not place much value in evaluation of historical government requests to the importing organization or other similarly situated organizations, these factors should be considered so that the parties conducting the TIA can gain an internal understanding of the actual risks of government requests and develop an appropriate response strategy.
\n\n
\n\n
Remediating Identified Risks
\n\n
\n\n
Upon completing the TIA and ascertaining the risk score, along with defined requirements aligned to the scores, it may be necessary to take steps to remediate risks and, as the EDPB Recommendations state, “bring the level of protection of the data transferred up to the EU standard of essential equivalence”.
\n\n
\n\n
Technical Controls
\n\n
\n\n
Significant attention has been focused on encryption of personal data in transit to, and at rest in, the recipient in the ex-EU country. The EDPB Recommendations specify that in those circumstances where encryption may be appropriate, it will only be considered an effective control if the encryption keys are maintained by the EU-based exporter, other entities in the EEA, or an ex-EU country with an adequacy designation. In other words, if a US-based importer holds the encryption key, the control will likely not be considered effective by EU authorities.
\n\n
\n\n
The Recommendations call out the common scenario3 in which a data importer – in a country in which the government may access the personal data (e.g., the US) – uses EU personal data to provide services to the EU controller (e.g., payroll or other HR-focused services). The EDPB takes the position that if the importer in such a scenario is able to use the data in the clear, even encryption in transit and at rest will not provide an adequate level of protection of the rights of the data subjects, as the government could compel production of the data.
\n\n
\n\n
The logical outcome of strict adherence to this position appears to be a new level of EU data localization. In such instances, exporters and importers may need to evaluate alternatives (e.g., storage and processing of data in the EEA or in an adequate country). If data localization is not an option, the parties may consider a risk-based decision to move forward with the transfer, implementing supplemental organizational and contractual controls4 in order to continue business operations in a manner beneficial to shareholders, employees and other interested parties. Where the risks are deemed to be too high, the parties may need to either suspend or stop further transfers.
\n\n
\n\n
Where appropriate, depending on the context of the transfer, pseudonymization may also present an adequate control. However, in accordance with the EDPB Recommendations, any additional information that would allow the identification of individuals whose personal data is transferred, must be held by the exporter either in the EU or other adequate country (this is a common scenario, for example, in the conduct of clinical trials). In addition, the parties should establish in the TIA that the individuals cannot be identified by public authorities by cross-referencing the pseudonymized personal data with additional information that the authorities may possess.
\n\n
\n\n
Contractual Limitations
\n\n
\n\n
Based on the context of the transfers taking place, contractual provisions may comprise additional controls supporting the compliant transfer of EU personal data. Contractual provisions may include:
\n\n
\n\n
\n
Limitations on the data being transferred, for example, only specified data subjects or data elements;
\n
Requirements for technical measures which must be implemented for the transfers to take place;
\n
A commitment to inform the EU data controller of government requests for personal data and – where commercially feasible and permitted by applicable law – to inform data subjects of such requests; and/or
\n
A binding commitment by the importer to challenge government requests, including efforts to delay response to requests pending resolution of the challenge.
\n
\n\n
\n\n
Contractual limitations should be drafted considering other contractual obligations that may already be in place, for example in SCCs or in an organization’s BCRs.
\n\n
\n\n
Administrative Controls
\n\n
\n\n
Administrative controls represent a further means for organizations importing personal data of EU residents to a non-adequate country to safeguard such personal data – where appropriate – from government access. Controls may include updating internal privacy policies and procedures to include detailed actions in the event of government requests. Such provisions may detail, for example, the process for the intake and response to requests, including review by appropriate internal stakeholders in the EU and in the country from which the government request is made. They may also document the organization’s commitments to inform data subjects of such requests and, where appropriate, to challenge government requests.
\n\n
\n\n
In addition, personnel who may be tasked with the intake, review and disposition of requests should receive training on internal procedures for managing government requests for access to personal data.
\n\n
\n\n
Final Thoughts
\n\n
\n\n
As we enter a new year, the state of ex-EU data transfers remains a moving target. While anticipated new SCCs are promising – particularly the processor-to-processor and processor-to-controller SCCs – they do not mitigate the risk of access to EU personal data by governments in non-EU countries. The EDPB Recommendations provide highly valuable guidance, but ultimately include some conclusions that point to EU data localization. In order to minimize risks associated with data transfers, organizations should (in line with EDPB Recommendations) undertake detailed data mapping exercises for processing activities which include transfers of EU resident personal data and conduct detailed TIAs to identify risks related to the transfers. A consistent approach to mapping and TIAs will not only provide information necessary to implement appropriate data protection controls, but will also demonstrate to EU regulatory authorities that your organization takes compliance with transfer rules seriously, and has taken appropriate measures to safeguard the privacy rights of EU residents.
[2] The EDPB Recommendations state that, “you must assess. . . if there is anything in the law or practice of the third country that may impinge on the effectiveness of the appropriate safeguards of the Article 46 GDPR transfer tool you are relying on, in the context of your specific transfer.”
[4] Such supplemental controls may include, for example, a documented commitment to challenge compelled government disclosure of personal data.
\n","datum":"26.01.2021","teasertext":"
Auch im Jahr 2021 stellen grenzüberschreitende Datentransfers aus der EU Datenschutz-Experten vor grosse Herausforderungen. Der nachfolgende Artikel erklärt, was Unternehmen tun können, um die mit grenzüberschreitenden Datenübermittlungen verbundenen Risiken zu minimieren. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":132,"title":"Die Europäische Kommission veröffentlicht Entwurf der revidierten Standardvertragsklauseln (auf Englisch)","slug":"die-europaeische-kommission-veroeffentlicht-entwurf-der-revidierten-standardvertragsklauseln","link":"/de/news/die-europaeische-kommission-veroeffentlicht-entwurf-der-revidierten-standardvertragsklauseln","titel":"Die Europäische Kommission veröffentlicht Entwurf der revidierten Standardvertragsklauseln (auf Englisch)","text":"
Am 12. November 2020 hat die Europäische Kommission einen Entwurf der revidierten Standardvertragsklauseln veröffentlicht. Die öffentliche Konsultation dauert bis zum 10. Dezember 2020. Die Entscheidung der Kommission sowie der Anhang mit den vorgeschlagenen Vertragsklauseln sind nur in englischer Sprache verfügbar. Um das Dokument herunterzuladen, klicken Sie bitte hier.
\n","datum":"12.11.2020","teasertext":"
Am 12. November 2020 hat die Europäische Kommission einen Entwurf der revidierten Standardvertragsklauseln veröffentlicht. Die öffentliche Konsultation dauert bis zum 10. Dezember 2020. Die Entscheidung der Kommission sowie der Anhang mit den vorgeschlagenen Vertragsklauseln sind nur in englischer Sprache verfügbar. Um das Dokument herunterzuladen, klicken Sie bitte hier.
\n","preview":"","datei":[],"linkextern":""},{"id":133,"title":"Der Europäische Datenschutzausschuss gibt Empfehlungen zu grenzüberschreitenden Datentransfers heraus","slug":"der-europaeische-datenschutzausschuss-gibt-empfehlungen-zu-grenzueberschreitenden-datentransfers-heraus","link":"/de/news/der-europaeische-datenschutzausschuss-gibt-empfehlungen-zu-grenzueberschreitenden-datentransfers-heraus","titel":"Der Europäische Datenschutzausschuss gibt Empfehlungen zu grenzüberschreitenden Datentransfers heraus","text":"
Am 11. November 2020 hat der Europäische Datenschutzausschuss zwei Empfehlungen zu grenzüberschreitenden Datentransfers herausgegeben. Die öffentliche Konsultation dauert bis zum 30. November 2020.
\n\n
\n\n
\n
Empfehlungen 01/2020 zu Massnahmen, welche die Instrumente für internationale Datentransfers ergänzen, um die Einhaltung des EU-Schutzniveaus für personenbezogene Daten zu gewährleisten (diese Empfehlungen beinhalten ein mehrstufiges Vorgehen für Datenexporteure, mögliche Ressourcen sowie Beispiele für zusätzliche Massnahmen, die getroffen werden können) und
\n
\n\n
\n\n
\n
Empfehlungen 02/2020 zu wesentlichen Garantien für Überwachungsmassnahmen (diese Empfehlungen listen Punkte auf, anhand derer festgestellt werden kann, ob Überwachungsmassnahmen, die Behörden in Drittländern Zugriff auf personenbezogene Daten gewähren, als gerechtfertigter Eingriff betrachtet werden können oder nicht).
\n
\n\n
\n\n
Die Empfehlungen sind nur in englischer Sprache verfügbar. Um die Dokumente herunterzuladen, klicken Sie bitte auf die folgenden Links:
Am 11. November 2020 hat der Europäische Datenschutzausschuss zwei Empfehlungen zu grenzüberschreitenden Datentransfers herausgegeben. Die öffentliche Konsultation dauert bis zum 30. November 2020.
\n","preview":"","datei":[],"linkextern":""},{"id":153,"title":"Privacy by Design als Chance für Unternehmen","slug":"privacy-by-design-als-chance-fuer-unternehmen","link":"/de/news/privacy-by-design-als-chance-fuer-unternehmen","titel":"Privacy by Design als Chance für Unternehmen","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Das Schweizer Parlament hat kürzlich das revidierte Datenschutzgesetz verabschiedet. Neu gilt der Grundsatz des sogenannten «Privacy by Design». Die korrekte Umsetzung dieses Prinzips ist die Grundvoraussetzung für einen verantwortungsvollen und effektiven Datenschutz und trägt entscheidend zum Erfolg eines Unternehmens bei. Daniela Fábián, Rechtsanwältin und Datenschutzexpertin, erläutert den Grundsatz und seine praktische Umsetzung.
\n\n
\n\n
Datenschutz hat in den vergangenen Jahren stark an Bedeutung gewonnen. Konsumenten, Kunden, Patienten und Arbeitnehmer sowie Unternehmensführer und Behörden sind zunehmend sensibilisiert und haben höhere Erwartungen an den Schutz von Personendaten. Infolgedessen wurden Datenschutzgesetze weltweit entsprechend verschärft.
\n\n
\n\n
Während viele Unternehmen bis vor Kurzem kaum Ressourcen für den Datenschutz bereitgestellt haben, ist den meisten Unternehmen inzwischen bewusst, dass Datenschutz ein ernst zu nehmendes Thema ist. Grund hierfür sind nicht nur drohende Sanktionen und Reputationsverlust im Falle einer Verletzung der Datenschutzvorschriften, sondern dass Unternehmen verstanden haben, dass sie die Vorteile neuer Technologien wie Blockchain, Machine Learning, Künstliche Intelligenz, Internet of Things oder autonomes Fahren nur dann voll ausschöpfen können, wenn sie gleichzeitig die Erwartungen der betroffenen Personen erfüllen, ihr Vertrauen gewinnen sowie deren Privatsphäre respektieren.
\n\n
\n\n
Verantwortungsvoller und effektiver Datenschutz setzt voraus, dass Unternehmen die grundlegenden Datenschutzgrundsätze wie Datenminimierung und Transparenz sowie technische Sicherheitsmassnahmen wie Pseudonymisierung oder Verschlüsselung bereits bei der Konzeption von digitalen Lösungen und generell in jegliche Datenbearbeitung integrieren. Diesen Ansatz nennt man «Privacy by Design», kurz «PbD».
\n\n
\n\n
Das Schweizer Parlament hat nun diesen Grundsatz unter dem Titel «Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen» im revidierten Datenschutzgesetz verankert.
\n\n
\n\n
Was bedeutet Privacy by Design für Unternehmen?
\n\n
\n\n
PbD ist nicht bloss eine neue Verpflichtung für Verantwortliche. PbD ist vielmehr Grundvoraussetzung für verantwortungsvollen Datenschutz. Um Datenschutzgrundsätze wirksam umzusetzen, müssen Unternehmen proaktiv handeln und potenzielle Risiken für die Privatsphäre von betroffenen Personen antizipieren.
\n\n
\n\n
Unternehmen, die z. B. ein neues Datenmanagementsystem einführen, eine App entwickeln, sensible Daten in einer Cloud speichern, Überwachungssysteme im Unternehmen einführen oder die Bearbeitung von Personendaten an Dritte ins Ausland verlagern wollen, müssen sich schon früh über potenzielle Auswirkungen und Risiken für die betroffenen Personen und deren Daten im Klaren sein.
\n\n
\n\n
Bei der Entwicklung einer App z. B. muss ein Unternehmen bereits in der Designphase prüfen, ob und wenn ja, welche Personendaten für die Nutzung erforderlich sind und wie technisch sichergestellt wird, dass nicht mehr Daten als erforderlich erhoben werden. Wo und wie lange werden die Daten gespeichert, in der App oder auf einem zentralen Server, im In- oder Ausland? Wer soll auf die Daten Zugriff haben und warum? Sind Dienstleister involviert und wenn ja, wie wird sichergestellt, dass auch sie die Datenschutzvorschriften einhalten? Wie wird technisch sichergestellt, dass die Nutzer vor dem Download der App die Datenschutzerklärung sehen und gegebenenfalls in die Datenbearbeitung einwilligen sowie ihre Rechte geltend machen können, dass die Daten nicht für andere Zwecke bearbeitet werden und bei Bedarf gelöscht oder herausgegeben werden können? Welche technischen Massnahmen sind erforderlich, um die Daten vor Cyberrisiken zu schützen?
\n\n
\n\n
Mit diesem Ansatz kann das Unternehmen nicht nur die Einhaltung der gesetzlichen Anforderungen sicherstellen, sondern bereits im Vorfeld strategische und operative Entscheidungen treffen und Geschäftsprozesse effizient umsetzen. Dazu können z. B. die Speicherung von Daten auf Servern in der Schweiz statt in den USA oder der Kauf von Software mit integriertem Datenschutz gehören.
\n\n
\n\n
Wie können Unternehmen Privacy by Design in der Praxis umsetzen?
\n\n
\n\n
Eine wirksame Möglichkeit, PbD in der Praxis umzusetzen, ist ein Datenschutzmanagement- und Risikobewertungsprogramm mit Verantwortlichkeiten und einem Prozess zur systematischen Identifizierung, Bewertung, Behandlung und Minderung potenzieller Datenschutz- und Sicherheitsrisiken im Zusammenhang mit der Datenbearbeitung aufzubauen. Durch systematische Konformitäts- und Risikoprüfungen können Unternehmen notwendige und geeignete Massnahmen bestimmen, um die Einhaltung der Datenschutzgrundsätze sicherzustellen und Risiken für die betroffenen Personen, und damit verbunden für das Unternehmen selbst, zu reduzieren.
\n\n
\n\n
Privacy by Design ist ein entscheidender Faktor für den Aufbau und die Aufrechterhaltung von Vertrauen, Wettbewerbsfähigkeit und Erfolg auf dem Markt. Unternehmen sollten PbD also durchaus als Chance begreifen.
\n\n
\n","datum":"31.10.2020","teasertext":"
Das Schweizer Parlament hat kürzlich das revidierte Datenschutzgesetz verabschiedet. Neu gilt der Grundsatz des sogenannten «Privacy by Design». Die korrekte Umsetzung dieses Prinzips ist die Grundvoraussetzung für einen verantwortungsvollen und effektiven Datenschutz und trägt entscheidend zum Erfolg eines Unternehmens bei. In einem Artikel im Magazin Bilanz (Fokus Business Success) erläutert Daniela Fábián Masoch den Grundsatz und seine praktische Umsetzung.
\n","preview":"","datei":[],"linkextern":""},{"id":128,"title":"Das neue Schweizer Datenschutzgesetz - die wichtigsten Neuerungen für Unternehmen","slug":"das-neue-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","link":"/de/news/das-neue-schweizer-datenschutzgesetz-die-wichtigsten-neuerungen-fuer-unternehmen","titel":"Das neue Schweizer Datenschutzgesetz - die wichtigsten Neuerungen für Unternehmen","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet.1 Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist. Dieser Artikel fasst die wichtigsten Neuerungen für Unternehmen zusammen.2
\n\n
\n\n
At a Glance
\n\n
\n\n
\n
Die Grundkonzeption der «Erlaubnis der Datenbearbeitung mit Verbotsvorbehalt» (d.h. Verbot, wenn die Datenbearbeitung zu einer «widerrechtlichen Persönlichkeitsverletzung führt») bleibt bestehen. Eine Einwilligung für die Bearbeitung von Personendaten ist, auch bei Profiling und der Bearbeitung von besonders schützenswerten Daten, nach wie vor grundsätzlich nicht erforderlich. Auch die Grundsätze der Datenbearbeitung bleiben weitgehend unverändert.
\n
\n\n
\n\n
\n
Juristische Personen fallen aus dem Schutzbereich heraus. Nur noch natürliche Personen unterstehen dem Schutz des DSG-neu.
\n
\n\n
\n\n
\n
Der Geltungsbereich des DSG-neu erstreckt sich auf Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
\n
\n\n
\n\n
\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen, dafür die Begriffe «Profiling», «Profiling mit hohem Risiko» und «Verletzung der Datensicherheit» eingeführt. Genetische und biometrische Daten sowie Daten über die Zugehörigkeit zu einer Ethnie gehören neu zu den besonders schützenswerten Daten.
\n
\n\n
\n\n
\n
Die Konzepte «Privacy by Design» und «Privacy by Default» sind, wie auch schon in der EU-Datenschutz-Grundverordnung (DSGVO), nun im Gesetz verankert.
\n
\n\n
\n\n
\n
Für die Datensicherheit sind sowohl der Verantwortliche als auch der Auftragsbearbeiter verantwortlich. Ein risikobasierter Ansatz wird eingeführt.
\n
\n\n
\n\n
\n
Die Datenbearbeitung durch Auftragsbearbeiter bleibt im Wesentlichen gleich. Neu darf der Auftragsbearbeiter einen Unterauftragnehmer für die Bearbeitung der Daten nur nach vorgängiger Genehmigung des Verantwortlichen beiziehen.
\n
\n\n
\n\n
\n
Die Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters bleibt freiwillig. Vorteile einer Ernennung können sich im Zusammenhang mit der Datenschutz-Folgenabschätzung ergeben.
\n
\n\n
\n\n
\n
Neu müssen der Verantwortliche und der Auftragsbearbeiter ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Dieses Verzeichnis muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nicht gemeldet werden (bisher musste der Inhaber von Datensammlungen seine Sammlungen grundsätzlich beim EDÖB anmelden).
\n
\n\n
\n\n
\n
Unternehmen mit Sitz im Ausland, die Personendaten von Personen in der Schweiz bearbeiten, müssen künftig einen Vertreter in der Schweiz bezeichnen.
\n
\n\n
\n\n
\n
Die Voraussetzungen für die Bekanntgabe von Personendaten ins Ausland bleiben im Wesentlichen gleich. Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
\n
\n\n
\n\n
\n
Die Informationspflicht ist neu auf das Beschaffen jeglicher Personendaten ausgedehnt worden (bisher nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen) und umfasst auch automatisierte Einzelentscheidungen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss neu bei Datenbearbeitungen mit voraussichtlich hohem Risiko für die betroffene Person eine Datenschutz-Folgenabschätzung durchführen.
\n
\n\n
\n\n
\n
Der Verantwortliche muss künftig Verletzungen der Datensicherheit dem EDÖB melden.
\n
\n\n
\n\n
\n
Betroffene Personen haben neu ein Recht auf Datenherausgabe oder -übertragung (Datenportabilität).
\n
\n\n
\n\n
\n
Der EDÖB erhält erweiterte Kompetenzen und kann neu eine Reihe von Verwaltungsmassnahmen verfügen.
\n
\n\n
\n\n
\n
Die Strafbestimmungen wurden mit Bussen bis zu 250 000 Franken für private Personen (also nicht Unternehmen!) erheblich verschärft, allerdings nur für Verstösse in bestimmten Bereichen, insbesondere der Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten sowie von Sorgfaltspflichten betreffend Anforderungen an die Datenbekanntgabe ins Ausland, Beiziehung eines Auftragsbearbeiters und für Nichteinhaltung der Mindestanforderungen an die Datensicherheit. Bussen bedingen eine vorsätzliche Handlung und werden in den meisten Fällen nur auf Antrag verhängt.
Das DSG-neu bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden. Nach geltendem Gesetz fallen auch juristische Personen unter den Schutzzweck. Mit der Streichung der juristischen Personen aus dem Schutzbereich gleicht sich das DSG-neu der DSGVO an, welche ebenfalls nur den Schutz natürlicher Personen bezweckt.
\n\n
\n\n
Das DSG-neu regelt nun auch den räumlichen Geltungsbereich. Nach Art. 3 gilt das Gesetz für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
Der Begriff der «Personendaten» wird eingeschränkt auf «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.» Als «betroffene Person» gelten künftig nur noch natürliche Personen, über die Personendaten bearbeitet werden.
\n\n
\n\n
Für die Bestimmbarkeit wird dabei weiterhin von einem «relativen Ansatz» ausgegangen. Gemäss Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz5 reicht, wie auch nach geltendem Recht, die rein theoretische Möglichkeit, dass jemand identifiziert werden kann, nicht aus, um anzunehmen, eine Person sei bestimmbar. Bereits in seiner Botschaft zum DSG von 19886 hielt der Bundesrat fest, dass keine Bestimmbarkeit vorliegt, wenn «der Aufwand für die Bestimmung der betroffenen Personen derart gross ist, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird». «Vielmehr muss die Gesamtheit der Mittel betrachtet werden, die vernünftigerweise eingesetzt werden können, um eine Person zu identifizieren. Ob der Einsatz dieser Mittel vernünftig ist, muss mit Blick auf die Umstände, etwa den zeitlichen und finanziellen Aufwand für die Identifizierung, beurteilt werden. Dabei sind die zum Zeitpunkt der Bearbeitung verfügbaren Technologien und deren Weiterentwicklung zu berücksichtigen. Das Gesetz gilt nicht für anonymisierte Daten, wenn eine Re-identifizierung durch Dritte unmöglich ist (die Daten wurden vollständig und endgültig anonymisiert) oder wenn dies nur mit einem hohen Aufwand möglich wäre, den kein Interessent auf sich nehmen würde. Das gilt ebenfalls für pseudonymisierte Daten».7
\n\n
\n\n
\n
Der Begriff «besonders schützenswerte Personendaten» ist um «Daten über die Zugehörigkeit zu einer Ethnie», «genetische Daten» und «biometrische Daten, die eine natürliche Person eindeutig identifizieren» erweitert worden. Während bei den biometrischen Daten klargestellt wurde, dass diese eine natürliche Person eindeutig identifizieren müssen, wurde dieser Zusatz bei den genetischen Daten im Differenzbereinigungsverfahren wieder gestrichen.
\n
\n\n
\n\n
\n
Die Begriffe «Inhaber der Datensammlung», «Persönlichkeitsprofile», und «Datensammlung» wurden gestrichen. Neu werden folgende Begriffe eingeführt: \n
\n
«Verantwortlicher»: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.
\n
«Auftragsbearbeiter»: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.
\n
«Profiling»: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
\n
«Profiling mit hohem Risiko»: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
\n
«Verletzung der Datensicherheit»: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n
\n
\n
\n\n
\n\n
3. Grundsätze für die Datenbearbeitung
\n\n
\n\n
Die Grundsätze der Datenbearbeitung bleiben materiell weitgehend unverändert.
\n\n
\n\n
\n
Neu wird in Art. 6 Abs. 4 ausdrücklich geregelt, dass die Daten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Die Erfüllung dieser Verpflichtung setzt voraus, dass der Verantwortliche im Vorfeld Aufbewahrungsfristen bestimmt.
\n
\n\n
\n\n
\n
Der Begriff «Persönlichkeitsprofil» wird durch «Profiling» ersetzt (siehe die Beschreibung unter «Begriffe»). Die Terminologie des Profilings war der eigentliche Knackpunkt, bei dem die Räte bis zuletzt uneinig waren und der auch in den Medien heftig diskutiert wurde. Schliesslich hat sich die Einigungskonferenz dem Antrag des Ständerates angeschlossen und die Einführung des «Profiling mit hohem Risiko» beschlossen (was mit dem heutigen Konzept des Persönlichkeitsprofils vergleichbar ist), mit der Konsequenz, dass bei dieser Art von Profiling die Einwilligung, sofern er-forderlich, ausdrücklich erfolgen muss. Wie die Risikoprüfung beim Profiling in der Praxis erfolgen soll, wird sich zeigen müssen, für Unternehmen aber sicherlich eine Herausforderung sein.
\n
\n\n
\n\n
Zu beachten ist, dass das DSG-neu kein Einwilligungserfordernis für das Profiling mit hohem Risiko einführt, sondern lediglich fordert, dass eine Einwilligung, sofern diese als Rechtfertigungsgrund nach Art. 31 DSG-neu überhaupt erforderlich ist, ausdrücklich erfolgen muss. Es sei daran erinnert, dass die Grundkonzeption sowohl des geltenden DSG als auch des DSG-neu anders ist als diejenige der DSGVO. Während nach der DSGVO für die Bearbeitung von personenbezogenen Daten immer ein Rechtsgrund erforderlich ist (Art. 6 und 9 DSGVO), ist die Bearbeitung von Personendaten nach dem DSG und DSG-neu grundsätzlich erlaubt, solange die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt wird. Nach dem DSG-neu gilt demnach weiterhin das «Erlaubnisprinzip mit Verbotsvorbehalt» während nach der DSGVO das «Verbotsprinzip mit Erlaubnisvorbehalt» gilt.
\n\n
\n\n
4. Privacy by Design und Privacy by Default
\n\n
\n\n
Neu sind die Prinzipien «Privacy by Design» und «Privacy by Default» wie wir sie bereits aus der DSGVO kennen, nun auch im DSG-neu verankert. In der Praxis ist der Verantwortliche schon heute verpflichtet, die Datenbearbeitung so auszugestalten, dass die Datenschutzvorschriften und die Grundsätze der Datenbearbeitung eingehalten werden. Ausdrücklich geregelt ist nun, dass der Verantwortliche verpflichtet ist, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Privacy by Default).
\n\n
\n\n
5. Datensicherheit
\n\n
\n\n
Der leicht revidierte Artikel 8 DSG-neu hält fest, dass sowohl der Verantwortliche als auch der Auftragsbearbeiter verpflichtet sind, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten. Neu wird also der risikobasierte Ansatz eingeführt. «Je grösser das Risiko einer Verletzung der Datensicherheit, umso höher sind die Anforderungen an die zu treffenden Massnahmen».8 Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.
\n\n
\n\n
6. Datenbearbeitung durch einen Auftragsbearbeiter
\n\n
\n\n
Art. 9 DSG-neu übernimmt im Wesentlichen den geltenden Artikel 10a DSG. Der unglückliche Begriff «Dritte» wird mit «Auftragsbearbeiter» ersetzt. Die Bearbeitung von Personendaten kann nach wie vor vertraglich oder durch Gesetz einem Auftragsbearbeiter übertragen werden, wenn (a) die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und (b) keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. In Anlehnung an die DSGVO muss ein Auftragsbearbeiter nun die Genehmigung des Verantwortlichen einholen, bevor er einen Unterauftragnehmer für die Datenbearbeitung beizieht.
\n\n
\n\n
7. Datenschutzberaterin oder -berater
\n\n
\n\n
Verantwortliche können, müssen aber nicht, eine Datenschutzberaterin oder einen Datenschutzberater als Anlaufstelle für die betroffenen Personen und Behörden, die in der Schweiz für den Datenschutz verantwortlich sind, ernennen. Die Aufgaben der Datenschutzberaterin oder Datenschutzberaters bestehen in der Schulung und Beratung des Verantwortlichen in Fragen des Datenschutzes und in der Mitwirkung bei der Anwendung der Datenschutzvorschriften.
\n\n
\n\n
Anders als nach dem geltenden DSG ist die Datenschutzberaterin oder der Datenschutzberater nicht dafür verantwortlich, die betriebsinterne Einhaltung der Datenschutzvorschriften zu überwachen und ein Verzeichnis der Datensammlungen zu führen.
\n\n
\n\n
Private Verantwortliche, die aufgrund ihrer Datenbearbeitung Datenschutz-Folgenabschätzungen gemäss Art. 22 DSG-neu durchführen müssen, haben mit der Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters einen Vorteil, sofern sie diese oder diesen konsultieren. Sie können in diesem Fall nämlich von der Konsultationspflicht des EDÖB absehen.9 Eine Konsultation ist vorgeschrieben, wenn sich aus einer Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung der Daten trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat. Voraussetzung für den Verzicht auf die Konsultationspflicht ist, dass die Datenschutzberaterin oder der Datenschutzberater (a) ihre oder seine Funktion gegenüber dem Verantwortlichen fachlich unabhängig und weisungsungebunden ausführt, (b) keine Tätigkeiten ausübt, die mit ihren oder seinen Aufgaben als Datenschutzberaterin oder Datenschutzberater unvereinbar sind, (c) über die erforderlichen Fachkenntnisse verfügt, und (d) der Verantwortliche die Kontaktdaten der Datenschutzberaterin oder des Datenschutzberaters veröffentlicht und dem EDÖB mitteilt.
\n\n
\n\n
8. Verzeichnis der Bearbeitungstätigkeiten
\n\n
\n\n
In Anlehnung an die DSGVO müssen der Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Das DSG-neu enthält eine Auflistung der jeweiligen Mindest-Informationen, die diese Verzeichnisse enthalten müssen. Neu muss das Verzeichnis der Bearbeitungstätigkeiten nicht mehr dem EDÖB gemeldet werden.
\n\n
\n\n
9. Vertreter in der Schweiz
\n\n
\n\n
Ähnlich wie unter der DSGVO müssen private Verantwortliche mit Sitz oder Wohnsitz im Ausland unter gewissen Voraussetzungen eine Vertretung in der Schweiz bezeichnen, wenn sie Personendaten von Personen in der Schweiz bearbeiten. Die Vertretung dient als Anlaufstelle für betroffene Personen und den EDÖB. Der Verantwortliche muss den Namen und die Adresse der Vertretung veröffentlichen. Die Voraussetzungen für die Bezeichnung des Vertreters und dessen Aufgaben werden in Art. 14 und 15 DSG-neu geregelt.
\n\n
\n\n
10. Bekanntgabe von Personendaten ins Ausland
\n\n
\n\n
Nach geltendem DSG dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Der EDÖB führt eine Liste mit einer generellen Einschätzung über das in den aufgeführten Ländern herrschende Datenschutzniveau. Diese unverbindliche Liste entbindet den Datenexporteur jedoch nicht von seiner Verantwortung, im Einzelfall zu prüfen, ob ein Land eine Gesetzgebung hat, die einen angemessenen Schutz bietet.
\n\n
\n\n
Neu stellt der Bundesrat verbindlich fest, ob die Gesetzgebung eines Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Ist dies der Fall, dürfen Personendaten ins Ausland transferiert werden. Ansonsten muss der Datenschutz durch Massnahmen gewährleistet werden, wie (a) einen völkerrechtlichen Vertrag, (b) Datenschutzklauseln zwischen den Vertragsparteien, die dem EDÖB vorgängig mitgeteilt wurden, (c) Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat (hierzu gehören die EU Standardvertragsklauseln), oder (d) verbindliche unternehmensinterne Datenschutzvorschriften (sogenannte Binding Corporate Rules - BCR), die vorgängig vom EDÖB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden (also beispielsweise die CNIL in Frankreich als Lead Authority). Der Bundesrat kann andere geeignete Garantien vorsehen. Denkbar wäre beispielsweise ein Nachfolgeabkommen des Swiss-US Privacy Shields.10
\n\n
\n\n
Abweichend von den oben genannten Grundsätzen dürfen Personendaten nur ins Ausland bekanntgegeben werden, wenn eine der Ausnahmen in Art. 17 DSG-neu vorliegt, wie beispielsweise die ausdrückliche Einwilligung der betroffenen Person.
\n\n
\n\n
11. Informationspflicht bei der Beschaffung von Personendaten
\n\n
\n\n
Die Informationspflicht wurde verschärft. Während heute eine Informationspflicht nur bei der Beschaffung von besonders schützenswerten Daten und Persönlichkeitsprofilen besteht, muss neu der Verantwortliche die betroffenen Personen über die Beschaffung von Personendaten generell informieren. Die Mindestangaben, die in der Datenschutzerklärung gemacht werden müssen, sind in Art. 19 DSG-neu geregelt, wobei unterschieden wird, ob die Daten direkt bei der betroffenen Person beschafft wurden oder indirekt durch andere Quellen. Im Vergleich zur DSGVO sind diese Mindestangaben weniger umfassend. In einem Punkt geht das DSG-neu jedoch weiter als die DSGVO: Sofern Personendaten ins Ausland bekanntgegeben werden, muss nämlich der Verantwortliche den Staat des Empfängers mitteilen.
\n\n
\n\n
Die Ausnahmen von der Informationspflicht wurden konkretisiert. Der private Verantwortliche kann weiterhin die Mitteilung der Information in gewissen Fällen einschränken, aufschieben oder darauf verzichten. Dies ist unter anderem möglich, wenn die überwiegenden Interessen des Verantwortlichen dies erfordern, und der Verantwortliche die Personendaten nicht an Dritte bekannt gibt, wobei Unternehmen, die zum selben Konzern gehören, nicht als Dritte im Sinne dieser Ausnahme gelten.
\n\n
\n\n
Neu muss der Verantwortliche grundsätzlich die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (sogenannte «automatisierte Einzelentscheidung») informieren. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird. Art. 21 DSG-neu sieht entsprechende Ausnahmen vor.
\n\n
\n\n
12. Durchführung von Datenschutz-Folgenabschätzungen
\n\n
\n\n
In Anlehnung an die DSGVO muss der Verantwortliche neu vor der Datenbearbeitung eine Datenschutz-Folgenabschätzung erstellen, sofern die Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Ein hohes Risiko ergibt sich, insbesondere bei der Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung (namentlich bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten und wenn systematisch umfangreiche öffentliche Bereiche überwacht werden).
\n\n
\n\n
Inhalt einer Datenschutz-Folgenabschätzung bildet die geplante Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit und die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte. Art. 22 DSG-neu sieht entsprechende Ausnahmen vor. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, kann eine gemeinsame Abschätzung vorgenommen werden.
\n\n
\n\n
Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so holt der Verantwortliche vorgängig die Stellungnahme des EDÖB ein. Von dieser Verpflichtung kann er absehen, wenn er eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 DSG-neu ernannt und diese oder diesen betreffend der in Frage stehenden Bearbeitung konsultiert hat.
\n\n
\n\n
13. Meldung von Verletzungen der Datensicherheit
\n\n
\n\n
Das DSG-neu führt, wie bereits aus der DSGVO bekannt, eine Meldung von Verletzungen der Datensicherheit ein, d.h. eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
\n\n
\n\n
Die gute Nachricht ist, dass die Meldepflicht nach DSG-neu etwas pragmatischer als unter der DSGVO ausgestaltet ist. Der Verantwortliche ist verpflichtet, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt, zu melden.
\n\n
\n\n
Anders als die DSGVO verlangt das DSG-neu für eine Meldung an den EDÖB ein hohes Risiko für die betroffene Person. Mit dieser Regelung soll verhindert werden, dass unbedeutende Verletzungen gemeldet werden. Es bleibt in der Verantwortung des Verantwortlichen, die Auswirkungen der Verletzung und das damit verbundene Risiko für die betroffenen Personen zu bestimmen.
\n\n
\n\n
Das DSG-neu schreibt im Gegensatz zur DSGVO keine bestimmte Frist vor, innert welcher die Mitteilung an den EDÖB erfolgen soll, sondern verlangt eine Meldung ab Kenntnisnahme so rasch als möglich. Der Verantwortliche muss schnell handeln, hat aber einen gewissen Ermessensspielraum. «Massgebend ist dabei unter anderem das Ausmass der Gefährdung der betroffenen Person. Je erheblicher die Gefährdung, je grösser die Anzahl der betroffenen Personen, umso schneller muss der Verantwortliche handeln».11 Auch muss der Verantwortliche die betroffene Person nur dann informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Massgebend ist, ob durch die Information die Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person reduziert werden können. Dies ist insbesondere der Fall, wenn die betroffene Person entsprechende Vorkehrungen zu ihrem Schutz treffen kann, zum Beispiel, indem sie ihre Zugangsdaten oder Passwörter ändert.12 Der Verantwortliche kann die Information an die betroffene Person unter gewissen Voraussetzungen einschränken, aufschieben oder darauf verzichten.
\n\n
\n\n
Der Auftragsbearbeiter hat keine eigene Meldepflicht an den EDÖB, muss aber dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit melden.
\n\n
\n\n
Art. 24 DSG-neu listet die Mindestanforderungen an die Meldung an den EDÖB auf.
\n\n
\n\n
14. Rechte der betroffenen Person
\n\n
\n\n
Auskunftsrecht: Das bisher in Art. 8 DSG geregelte Auskunftsrecht wird neu in Art. 25 DSG-neu geregelt. Der Grundsatz bleibt gleich. Der Verantwortliche teilt der betroffenen Person diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Diese Informationen entsprechen denjenigen, die schon aufgrund der Informationspflicht mitgeteilt werden müssen. Die Mindestangaben, die aufgrund eines Auskunftsgesuchs gemacht werden müssen, werden im Gesetz aufgelistet. Neu ist die Auskunftspflicht über automatisierte Einzelentscheidungen. In diesem Fall muss die betroffene Person auch über die Logik, auf der die Entscheidung beruht, informiert werden. Die betroffene Person kann verlangen, den eigenen Standpunkt zu äussern und dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
\n\n
\n\n
Die bisher geltenden Einschränkungen des Auskunftsrechts bestehen weiter. Neu kann ein Verantwortlicher das Auskunftsrecht «verweigern, einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist». Gemäss Botschaft13 ist diese Ausnahme eng auszulegen. Insbesondere muss der Verantwortliche die für die betroffene Person günstigere Lösung wählen. Er muss so weit wie möglich die Auskunft lediglich einschränken, darf sie allenfalls aufschieben und kann sie nur in den absolut eindeutigen, offensichtlichen Fällen verweigern.
\n\n
\n\n
Recht auf Datenportabilität: Neu hat die betroffene Person unter gewissen Voraussetzungen ein Recht auf Datenherausgabe oder -übertragung.14 Die betroffene Person kann verlangen, dass die Daten ihr oder, sofern dies keinen unverhältnismässigen Aufwand erfordert, einem anderen Verantwortlichen übertragen werden. Die Datenherausgabe muss grundsätzlich kostenlos und in einem gängigen elektronischen Format erfolgen. Die gleichen Einschränkungen wie zur Auskunftspflicht können geltend gemacht werden.
\n\n
\n\n
Rechtsansprüche: Die bisher geltenden Rechtsansprüche gelten weiterhin und sind in Art. 32 DSG-neu zusammengefasst. Das Recht auf Löschung oder Vernichtung wird im DSG-neu nun ausdrücklich geregelt, obwohl sich dieses implizit bereits aus dem bisherigen Recht ergibt.
\n\n
\n\n
15. Verwaltungsmassnahmen und Sanktionen
\n\n
\n\n
Dem EDÖB werden in Art. 51 DSG-neu erweiterte Kompetenzen gegeben. Neu kann er nicht nur Massnahmen empfehlen, sondern Verwaltungsmassnahmen auch verfügen. Zu diesen Massnahmen gehören beispielsweise Massnahmen gegen Datenbearbeitungen, die gegen die Datenschutzvorschriften verstossen, einschliesslich der Verfügung, Personendaten zu vernichten oder dem Verbot, Personendaten ins Ausland bekannt zu geben, sowie die Anordnung eine Datenschutz-Folgenabschätzung durchzuführen oder einer betroffenen Person die Auskünfte zu erteilen. Nach wie vor kann der EDÖB keine Bussen aussprechen. Diese Kompetenz obliegt den Kantonen.15
\n\n
\n\n
Die Strafbestimmungen wurden signifikant verschärft.16 Neu können unter anderem private Personen (also anders als unter der DSGVO nicht Unternehmen!) auf Antrag mit Busse bis zu 250 000 Franken bestraft werden, wenn sie gegen ihre Informations- oder Auskunftspflichten verstossen oder ihre Sorgfaltspflichten verletzen, namentlich Personendaten ins Ausland bekanntgeben oder die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne die gesetzlichen Anforderungen zu erfüllen, oder die Mindestanforderungen an die Datensicherheit nicht einhalten. Wer dem EDÖB im Rahmen einer Untersuchung vorsätzlich die Mitwirkung verweigert macht sich ebenfalls strafbar.
\n\n
\n\n
Strafbar macht sich schliesslich auch, wer vorsätzlich eine berufliche Schweigepflicht verletzt, indem sie oder er geheime Personendaten vorsätzlich offenbart, von denen sie oder er bei der Ausübung ihres oder seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat. Mit dieser Bestimmung wird neu auch für Personen (und deren Hilfspersonen), die nicht unter das strafrechtlich sanktionierte Berufsgeheimnis fallen17, eine Schweigepflicht eingeführt. Die Verletzung der Schweigepflicht kann auf Antrag mit einer Busse bis zu 250 000 Franken bestraft werden.
\n\n
\n\n
Schliesslich wird mit einer Busse bis zu 250 000 Franken bestraft, wer vorsätzlich eine Verfügung des EDÖB oder einer Rechtsmittelinstanz unter Strafandrohung nicht befolgt.
\n\n
\n\n
Zu beachten ist, dass Verstösse gegen zentrale, neu im Gesetz verankerte Pflichten, wie das Führen eines Verzeichnisses der Bearbeitungstätigkeiten, die Meldung von Verstössen gegen die Datensicherheit oder die Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen, nicht im Bussgeldkatalog zu finden sind.
\n\n
\n\n
Umsetzungsmassnahmen
\n\n
\n\n
Unternehmen sollten eine Datenmanagement-Analyse durchführen und ihren Konformitätsgrad mit dem DSG-neu sowie allfällige Lücken und Risiken identifizieren. Dabei sollte der Fokus insbesondere auf folgende Bereiche gelegt werden:
\n\n
\n\n
\n
die Governance Struktur,
\n
Datenschutz-Standards und Prozesse zur Einhaltung der Grundsätze und Datensicherheit,
\n
die Transparenz gegenüber den betroffenen Personen,
\n
das Verzeichnis der Datenbearbeitungen,
\n
die Datenflüsse innerhalb des Unternehmens und an Dienstleister (wobei hier insbesondere auch auf die neuesten Entwicklungen und das Positionspapier des EDÖB geachtet werden sollte18),
\n
die Prozesse zur Durchführung von Datenschutz-Folgenabschätzungen,
\n
Meldungen von Datensicherheitsverletzungen an den EDÖB sowie
\n
die Beantwortung von Auskunftsgesuchen.
\n
\n\n
\n\n
Unternehmen, welche bereits ein DSGVO Datenschutzprogramm eingeführt haben, werden einen geringeren Handlungsbedarf haben als Unternehmen, die nicht unter die DSGVO fallen oder noch keine entsprechenden Massnahmen ergriffen haben.
\n\n
\n\n
Viele Unternehmen werden aber ohnehin Konzepte wie Privacy by Design sowie Prozesse, die eine gesetzeskonforme Löschung oder Vernichtung der Daten und die Datenportabilität unterstützen, einführen müssen. Auch werden viele Unternehmen ihre Datenschutzerklärungen überprüfen und gegebenenfalls neu anpassen oder aber komplett neu erstellen müssen, um die Vorgaben des DSG-neu zu erfüllen. Verzeichnisse, welche heute Datensammlungen dokumentieren, werden ebenfalls neu strukturiert werden müssen, um Datenbearbeitungsvorgänge zu erfassen.
\n\n
\n\n
FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.
[10] Am 8. September hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) festgestellt, dass der Swiss-US Privacy Shield für die Übermittlung von Personendaten aus der Schweiz in die USA nicht mehr angemessen ist (siehe dazu die Stellungnahme des EDÖB).
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet. Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist. Dieser Artikel fasst die wichtigsten Neuerungen für Unternehmen zusammen.
\n","preview":"","datei":[],"linkextern":""},{"id":97,"title":"Das revidierte Schweizer Datenschutzgesetz ist verabschiedet","slug":"the-revised-swiss-data-protection-act-is-adopted","link":"/de/news/the-revised-swiss-data-protection-act-is-adopted","blocks":[{"id":123,"title":false,"slug":false,"link":"/de/dev/part-data/the-revised-swiss-data-protection-act-is-adopted-blocks/"},{"id":124,"title":false,"slug":false,"link":"/de/dev/part-data/the-revised-swiss-data-protection-act-is-adopted-blocks/"}],"titel":"Das revidierte Schweizer Datenschutzgesetz ist verabschiedet ","preview":"","text":"
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet (angenommener Schlussabstimmungstext DSG). Das Bundesgesetz untersteht dem fakultativen Referendum. Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist.
\n\n
\n\n
Nachdem sich die Räte bis zuletzt beim Thema Profiling uneinig waren, konnten sie sich schliesslich auf die Einführung des Konzepts «Profiling mit hohem Risiko» einigen. Die Konsequenz dieser Art von Profiling ist, dass die Einwilligung, sofern erforderlich, ausdrücklich erfolgen muss (siehe unten die relevanten Gesetzesartikel betreffend Profiling und Einwilligung).
\n\n
\n\n
Wie die Risikoprüfung beim Profiling in der Praxis erfolgen soll, wird sich zeigen müssen, wird aber sicherlich für Unternehmen eine Herausforderung sein.
\n\n
\n\n
Zu beachten ist, dass das revidierte DSG kein Einwilligungserfordernis für das Profiling mit hohem Risiko einführt, sondern lediglich fordert, dass eine Einwilligung, sofern diese als Rechtfertigungsgrund nach Art. 31 DSG-neu überhaupt erforderlich ist, ausdrücklich erfolgen muss. Es sei daran erinnert, dass die Grundkonzeption des DSG und DSG-neu anders ist als diejenige der DSGVO. Während nach der DSGVO für die Verarbeitung von personenbezogenen Daten immer ein Rechtsgrund erforderlich ist (Art. 6 und 9 DSGVO), ist die Bearbeitung von Personendaten nach dem DSG und DSG-neu grundsätzlich erlaubt, solange die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt wird. Nach dem DSG-neu gilt demnach weiterhin das «Erlaubnisprinzip mit Verbotsvorbehalt» während nach der DSGVO das «Verbotsprinzip mit Erlaubnisvorbehalt» gilt.
\n\n
\n\n
Das revidierte Datenschutzgesetz gilt künftig für die Bearbeitung von Personendaten natürlicher Personen (heute auch juristischer Personen). Es führt spezifische Begriffe, wie \"Verantwortlicher\" und \"Auftragsbearbeiter\" ein und erweitert den Begriff der \"besonders schützenswerten Personendaten\" um \"genetische Daten\" und \"biometrische Daten, die eine natürliche Person eindeutig identifizieren\". Konzepte, wie bereits aus der DSGVO bekannt, sind nun im Gesetz verankert, wie beispielsweise Privacy by Design, das Verzeichnis der Bearbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, die allgemeine Informationspflicht bei der Beschaffung von Personendaten und die Meldung von Verletzungen der Datensicherheit. Künftig müssen auch im Ausland ansässige Verantwortliche unter bestimmten Voraussetzungen einen Vertreter in der Schweiz benennen, wenn sie Personendaten von Personen in der Schweiz bearbeiten. Das neue Gesetz verschärft die Strafbestimmungen mit Bussen von bis zu 250 000 Franken für Privatpersonen, die gegen gewisse Bestimmungen verstossen, wie die Informations-, Auskunfts- und Mitwirkungspflicht mit dem EDÖB, die Bestimmungen über die Bekanntgabe von Personendaten ins Ausland und die Beauftragung von Auftragsbearbeitern sowie die Nichteinhaltung der Mindestanforderungen an die Datensicherheit.
\n\n
\n\n
Eine detaillierte Zusammenfassung und Analyse des revidierten Gesetzes und seiner Grundsätze wird folgen.
\n\n
\n\n
Relevante Artikel im DSG-neu betreffend Profiling:
\n\n
\n\n
Art. 5 lit f:
\n\n
Profiling ist jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
\n\n
\n\n
Art. 5 lit g:
\n\n
Profiling mit hohem Risiko: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
\n\n
\n\n
Art. 6 Abs. 6:
\n\n
Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
\n\n
\n\n
Art. 6 Abs. 7:
\n\n
Die Einwilligung muss ausdrücklich erfolgen für:
\n\n
a. die Bearbeitung von besonders schützenswerten Personendaten;
\n\n
b. ein Profiling mit hohem Risiko durch eine private Person; oder
\n\n
c. ein Profiling durch ein Bundesorgan.
\n\n
\n\n
Art. 30
\n\n
Persönlichkeitsverletzungen
\n\n
1 Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen.
\n\n
2 Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn:
\n\n
a. Personendaten entgegen den Grundsätzen nach den Artikeln 6 und 8 bearbeitet werden;
\n\n
b. Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden;
\n\n
c. Dritten besonders schützenswerte Personendaten bekanntgegeben werden.
\n\n
3 In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.
\n\n
\n\n
Art. 31 Abs. 1
\n\n
Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
\n\n
\n","datum":"25.09.2020","teasertext":"
Das Schweizer Parlament hat am 25. September 2020 das revidierte Datenschutzgesetz (DSG-neu) verabschiedet. Das Bundesgesetz untersteht dem fakultativen Referendum. Über das Inkrafttreten entscheidet der Bundesrat nach Ablauf der 100-tägigen Referendumsfrist.
\n","datei":[],"linkextern":""},{"id":154,"title":"EDÖB erklärt Swiss-US Privacy Shield für ungültig (auf Englisch)","slug":"edoeb-erklaert-swiss-us-privacy-spielt-fuer-ungueltig-auf-englisch","link":"/de/news/edoeb-erklaert-swiss-us-privacy-spielt-fuer-ungueltig-auf-englisch","titel":"EDÖB erklärt Swiss-US Privacy Shield für ungültig (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Swiss Data Protection Authority considers the CH-US Privacy Shield no longer adequate – Swiss companies must act now.
\n\n
\n\n
On 8 September, the Federal Data Protection and Information Commissioner (FDPIC) determined that it no longer considers the CH-US Privacy Shield adequate for transferring personal data from Switzerland to the USA (please see the statement, the policy paper, and the amended list of states with adequate protection here). Such a decision was expected following the EU Court of Justice (CJEU) judgment of mid-July in the case C-311/18 — Data Protection Commissioner v. Facebook Ireland and Maximillian Schrems. See our summary here.
\n\n
\n\n
Based on this determination and within the scope of its competence (Art. 31 para. 1 lit. d FADP and Art. 7 of the Ordinance to the FADP (OFADP)), the FDPIC has removed the USA from the list of states with adequate data protection under certain conditions (Privacy Shield) and classifies the USA from now on as a country with insufficient protection.
\n\n
\n\n
The list of states is a list of countries whose legislation guarantees adequate data protection in the opinion of the FDPIC. However, the list does not release data exporters from their obligation to assess the presumed level of protection if there are indications of data protection risks in a specific case and, if necessary, to take appropriate safeguards within the meaning of Art. 6 para. 2 FADP, or even to refrain from exporting the data. The list distinguishes between countries with \"adequate data protection\" and countries with \"adequate data protection under certain conditions\". The USA has belonged to the second group since the beginning of 2017 with the introduction of the CH-US Privacy Shield.
\n\n
\n\n
With the removal of the USA from the list, the transfer of personal data to the USA now requires the fulfillment of one of the conditions of Art. 6 para. 2 FADP (such as contractual guarantees, binding corporate rules (BCR), or consent). The data exporter remains obliged to carry out a risk assessment in each case and, in particular, to ensure data protection's adequacy in the destination country.
\n\n
\n\n
However, the determination of the FDPIC and the removal of the USA from the list of states does not influence the continued existence of the CH-US Privacy Shield. The framework would have to be formally revoked by the US Department of Commerce. If a company continues to transfer personal data to the USA under the CH-US Privacy Shield without taking additional safeguards under Art. 6 para. 2 FADP, it is in breach of the data protection principles under the FADP. It thus unlawfully violates the personality of the data subjects, unless there is a legal justification, including consent, an overriding private or public interest or law.
\n\n
\n\n
In its policy paper, the FDPIC provides guidance on the measures to be taken by companies that transfer personal data to non-listed countries based on contractual clauses. Data exporters should consider each case with due diligence, and, in particular, verify if the receiving company in a non-listed country is subject to governmental access, and further whether the receiving company is entitled and in a position to provide the cooperation necessary for the enforcement of Swiss data protection principles. If this is not the case, Swiss data exporters must consider technical measures that effectively prevent the authorities in the destination country from accessing the transferred personal data, in particular, through encryption along with the principles of BYOK (bring your own key) and BYOE (bring your own encryption). However, encryption may not be useful for the receiving company's services beyond mere data hosting. If such technical measures are not possible, the FDPIC recommends refraining from transferring personal data to non-listed countries based on contractual clauses.
\n\n
\n\n
Please note that under the current FADP, the FDPIC only has the power to issue recommendations regarding the method of processing, and, in case such recommendations are not followed or rejected, to refer the matter to the Federal Administrative Court for a decision. Under the revised Draft FADP (D-FADP, according to the current state), however, the FDPIC shall obtain extended power to issue an order to the controller directly and prohibit the data transfer abroad if it is contrary to the requirements of the D-FADP or violates provisions relating to the disclosure of personal data abroad. Responsible individuals who deliberately fail to comply with an order issued by the FDPIC may be fined up to 250,000 Swiss francs, provided that the order contains such a threat of punishment.
\n\n
\n\n
Therefore, Swiss companies should continue to monitor developments in this matter and watch out for further guidance of the FDPIC. Companies should also identify and document any cross-border data transfer within their organization and to third parties, and the safeguards used. Transfers relying on the CH-US Privacy Shield should be based on alternative transfer mechanisms. If Standard Contractual Clauses (SCC) are used, companies should conduct assessments in each case, as described above, and take additional contractual, technical, and organizational measures to reach an adequate protection level for the data transferred.
\n\n
\n","datum":"11.09.2020","teasertext":"
Am 8. September 2020 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) dem Swiss-US Privacy Shield Regime die Anerkennung als Grundlage für einen angemessenen Datenschutz für die Übermittlung von Personendaten aus der Schweiz in die USA abgesprochen und ist somit dem Entscheid vom 16. Juli 2020 des Europäischen Gerichtshofs im Fall Schrems II gefolgt. Der folgende Artikel erläutert, was dies für Schweizer Unternehmen bedeutet, die personenbezogene Daten ins Ausland übermitteln, und wie sie auf diesen Entscheid reagieren sollten. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":155,"title":"Was ist bei der Übermittlung von Personendaten ins Ausland zu beachten?","slug":"was-ist-bei-der-uebermittlung-von-personendaten-ins-ausland-zu-beachten","link":"/de/news/was-ist-bei-der-uebermittlung-von-personendaten-ins-ausland-zu-beachten","titel":"Was ist bei der Übermittlung von Personendaten ins Ausland zu beachten?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Der Gerichtshof der Europäischen Union (EuGH) hat in einem kürzlich publizierten Entscheid die Übermittlung von Personendaten in Drittländer erheblich erschwert. Welche Auswirkungen hat dieser Entscheid auf Unternehmen in der Schweiz?
\n\n
\n\n
Die geltende EU Datenschutz-Grundverordnung (DSGVO) und das schweizerische Datenschutzgesetz (DSG) verbieten grundsätzlich die Übermittlung von Personendaten aus dem Europäischen Wirtschaftsraum (EWR) und der Schweiz in Länder, die keinen angemessenen Datenschutz gewährleisten (Drittländer).
\n\n
\n\n
Eine Übermittlung in Drittländer, einschliesslich Fernzugriff, ist nur erlaubt, wenn mindestens eine der gesetzlich vorgesehenen Schutzmassnahmen getroffen wird, wie beispielsweise die Anwendung von EU-Standardvertragsklauseln (SCC) zwischen Datenexporteuren und Datenempfängern oder die Einführung von verbindlichen internen Unternehmensregeln (BCR) für den internen Datenaustausch. Eine Übermittlung ist auch erlaubt, wenn eine Ausnahmeregelung vorliegt, beispielsweise die ausdrückliche Einwilligung der betroffenen Personen.
\n\n
\n\n
Die USA gelten grundsätzlich aus europäischer Sicht als Drittland. Sowohl die EU als auch die Schweiz haben jedoch mit den USA ein Regelwerk erarbeitet, den sogenannten EU-U.S. Privacy Shield und CH-U.S. Privacy Shield. Dieses Regelwerk erlaubt die Übermittlung von Personendaten aus der EU und der Schweiz an US-Unternehmen, die sich dem jeweiligen Privacy Shield unterstellt haben.
\n\n
\n\n
Das Urteil des EuGH in Sachen Schrems II erschwert die grenzüberschreitende Datenübermittlung
\n\n
\n\n
Am 16. Juli 2020 hob der Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-311/18 - Data Protection Commissioner v. Facebook Ireland and Maximilian Schrems (Schrems II) den EU-U.S. Privacy Shield mit sofortiger Wirkung auf. Der Grund für diese Entscheidung liegt darin, dass das US-Recht aufgrund der weitgehenden Befugnisse der US Geheimdienste gemäss der Einschätzung des EuGH kein Schutzniveau bietet, das dem in der Europäischen Union im Wesentlichen gleichwertig ist.
\n\n
\n\n
Gleichzeitig bestätigte der EuGH die prinzipielle Gültigkeit von SCC. Der EuGH appelliert jedoch an die bereits in den SCC festgeschriebenen Verpflichtungen von Unternehmen, die Personendaten auf der Grundlage von SCC aus der EU in ein Drittland exportieren oder importieren, und betont, dass die reine Unterzeichnung der SCC nicht ausreicht. Die Parteien müssen im Einzelfall prüfen, ob die SCC im Empfängerland eingehalten werden können und die Rechte der betroffenen Personen im Empfängerland ein angemessenes Schutzniveau geniessen, das dem in der Europäischen Union gleichwertig ist.
\n\n
\n\n
Ist dies nicht der Fall, muss der Datenexporteur zusätzliche Schutzmassnahmen ergreifen oder die betreffende Datenübermittlung aussetzen. Schutzmassnahmen können technischer Natur sein, wie beispielsweise die Verschlüsselung der Daten. Zusätzliche vertragliche Absicherungen und organisatorische Massnahmen sind ebenfalls denkbar. Der EuGH legt jedoch nicht fest, welche Art von Schutzmassnahmen ergriffen werden sollen, und lässt somit den Unternehmen einen gewissen Spielraum.
\n\n
\n\n
Was bedeutet dieses Urteil für Unternehmen in der Schweiz?
\n\n
\n\n
Das EuGH-Urteil ist auf die Schweiz nicht direkt anwendbar. Somit bleibt der CH-U.S. Privacy Shield vorerst gültig. Auch vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannte SCC können weiterhin für Datenübermittlungen aus der Schweiz genutzt werden. Der EDÖB hat das Urteil des EuGH zur Kenntnis genommen, hat sich aber noch nicht zur Gültigkeit des CH-U.S. Privacy Shields geäussert. Es ist jedoch zu erwarten, dass die Behörde dem EuGH-Urteil folgen und auch den CH-U.S. Privacy Shield für ungültig erklären wird (wie sie es auch 2015 nach der Ungültigkeitserklärung des Vorgängerabkommens Safe-Harbor getan hat). Für Unternehmen in der Schweiz, die dem DSG unterliegen, besteht somit aufgrund des EuGH-Urteils vorerst kein dringender Handlungsbedarf. Dennoch sollten die internen und externen Datenflüsse jetzt schon ermittelt und Vorbereitungen für einen kurzfristigen Wechsel von Privacy Shield auf SCC getroffen werden. Auf viele Unternehmen in der Schweiz ist jedoch auch die DSGVO anwendbar. Diese Unternehmen sollten jetzt aktiv werden, um Personendaten weiterhin legitim in Drittländer übermitteln zu können und signifikante Bussgelder zu vermeiden.
\n\n
\n\n
Was können Unternehmen tun?
\n\n
\n\n
\n
Unternehmen sollten die Entwicklungen in der EU und in der Schweiz überwachen und insbesondere auf die Herausgabe von Leitlinien und revidieren SCC als auch auf eine allfällige Ungültigkeitserklärung des CH-U.S. Privacy Shields achten.
\n
\n\n
\n\n
\n
Interne und externe grenzüberschreitende Datenübermittlungen sollten ermittelt und dokumentiert werden.
\n
\n\n
\n\n
\n
Für Datenübermittlungen, die auf den EU-U.S. Privacy Shield gestützt sind, sollten SCC mit den Datenempfängern vereinbart werden.
\n
\n\n
\n\n
\n
Für Datenübermittlungen auf der Grundlage von SCC (einschliesslich konzerninterner Datenübermittlungsvereinbarungen) sollten im Rahmen der Due Diligence mit dem Datenempfänger Analysen im Empfängerland durchgeführt und gegebenenfalls zusätzliche vertragliche, organisatorische und technische Massnahmen getroffen werden.
\n
\n\n
\n\n
\n
Schliesslich sollten Unternehmen ihre Datenübermittlungsstrategie überdenken und gegebenenfalls einen Wechsel auf robustere Mechanismen, wie BCR in Betracht ziehen.
\n
\n\n
\n","datum":"04.09.2020","teasertext":"
In einem im Fokus Rechtsguide erschienenen Artikel erklärt Daniela Fábián Masoch, worauf bei grenzüberschreitenden Datenübermittlungen geachtet werden muss und welche Auswirkungen das Urteil des EuGH in Sachen Schrems II für Schweizer Unternehmen hat.
\n","preview":"","datei":[],"linkextern":""},{"id":156,"title":"Urteil des EuGH zu grenzüberschreitenden Datenübermittlungen aus der EU in Drittländer – was nun?","slug":"urteil-des-eugh-zu-grenzueberschreitenden-datenuebermittlungen-aus-der-eu-in-drittlaender-was-nun","link":"/de/news/urteil-des-eugh-zu-grenzueberschreitenden-datenuebermittlungen-aus-der-eu-in-drittlaender-was-nun","titel":"Urteil des EuGH zu grenzüberschreitenden Datenübermittlungen aus der EU in Drittländer – was nun?","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Am 16. Juli 2020 verkündete der Gerichtshof der Europäischen Union (EuGH) sein Urteil in der Rechtssache C-311/18 — Data Protection Commissioner v. Facebook Irland und Maximillian Schrems (Schrems II). In diesem Fall ersuchte M. Schrems die Kommission, die Übermittlung seiner personenbezogenen Daten durch Facebook Irland an die in den USA ansässige Facebook Inc. zu verbieten oder auszusetzen, mit der Begründung, dass dieses Drittland kein angemessenes Schutzniveau gewährleiste. Dieses Urteil hat weitreichende Konsequenzen für jegliche Datenübermittlung aus der EU in Drittländer.
\n\n
\n\n
Die Ergebnisse der Entscheidung des EuGH
\n\n
\n\n
Privacy Shield
\n\n
\n\n
Der EuGH hob den Beschluss 2016/1250 der Europäischen Kommission über die Übermittlung personenbezogener Daten in die USA (Privacy Shield) mit sofortiger Wirkung auf. Der Grund für diese Entscheidung liegt im Kern darin, dass das US-Recht (insbesondere Abschnitt 702 Foreign Intelligence Surveillance Act (FISA) und die Executive Order 12333) gemäss der Einschätzung des EuGH kein angemessenes Schutzniveau bietet, das dem in der EU im Wesentlichen gleichwertig ist (in Bezug auf angemessene Schutzvorkehrungen, durchsetzbare Rechte und wirksame Rechtsbehelfe, die gemäss DSGVO erforderlich sind).
\n\n
\n\n
In der Schweiz hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) das Urteil des EuGH zur Kenntnis genommen. Das Urteil ist nicht direkt auf die Schweiz und damit nicht auf den CH-US Privacy Shield anwendbar. Der EDÖB wird das Urteil im Detail prüfen und zu gegebener Zeit dazu Stellung nehmen. Während der CH-US-Privacy Shield derzeit noch gültig ist, ist zu erwarten, dass die Behörde dem EuGH-Urteil folgen und auch den CH-US-Privacy Shield für ungültig erklären wird (wie sie es auch 2015 nach der Ungültigerklärung der Safe-Harbor-Vereinbarung getan hat).
\n\n
\n\n
Standardvertragsklauseln (SCC)
\n\n
\n\n
Der EuGH bestätigte die prinzipielle Gültigkeit des Kommissionsbeschlusses 2010/87/EG über Standardvertragsklauseln (SCC), betonte jedoch die Verantwortung des Datenexporteurs und des Datenimporteurs für die Durchführung einer Einzelfallanalyse des innerstaatlichen Rechts des Datenimporteurs, insbesondere in Bezug auf den Zugang von Behörden und Rechtsbehelfe, um festzustellen, ob die Rechte der betroffenen Personen im Drittland ein angemessenes Schutzniveau geniessen, das dem in der Union gleichwertig ist. Ist dies nicht der Fall, muss der Datenexporteur zusätzliche wirksame Schutzmassnahmen ergreifen oder die betreffende Datenübermittlung aussetzen. Solche zusätzlichen Schutzmassnahmen können technische Massnahmen wie die Verschlüsselung der Daten im Transit und im Ruhezustand, vertragliche Absicherungen oder organisatorische Massnahmen umfassen. Der EuGH legt jedoch nicht fest, welche Art von zusätzlichen Schutzmassnahmen ergriffen werden sollen, und lässt somit die Unternehmen in Ungewissheit. Weitere Leitlinien werden in naher Zukunft erwartet.
\n\n
\n\n
Die vom EuGH hervorgehobenen Verpflichtungen sind nicht neu. Sie sind sowohl in den «Controller to Processor SCC» als auch in den «Controller to Controller SCC» bereits enthalten. Der EuGH appelliert an die bestehenden Verpflichtungen von Unternehmen, die personenbezogene Daten auf der Grundlage der SCC aus der EU in ein Drittland ohne Angemessenheitsentscheid der EU-Kommission exportieren bzw. importieren, und betont, dass die reine Unterzeichnung der SCC nicht ausreicht, sondern dass die Parteien im Einzelfall prüfen müssen, ob die SCC im Empfängerland eingehalten werden können.
\n\n
\n\n
Die Entscheidung des EuGH betrifft im Prinzip die «Controller to Processor SCC». Dieselben Argumente gelten jedoch auch für die Übermittlung personenbezogener Daten aus der EU in ein Drittland auf der Grundlage der «Controller to Controller SCC» oder verbindlicher interner Datenschutzvorschriften (Binding Corporate Rules, BCR).
\n\n
\n\n
Unternehmen, die diese Analyse nicht durchführen und gegebenenfalls personenbezogene Daten auf der Grundlage von SCC in ein Drittland übermitteln, in dem der Datenempfänger aufgrund dem EU-Recht nicht gleichwertiger lokaler Gesetzgebung nicht in der Lage ist, die SCC effektiv einzuhalten, verstossen gegen die Anforderungen der DSGVO (selbst wenn die SCC unterzeichnet wurden) und riskieren somit hohe Geldstrafen von bis zu EUR 20'000'000 oder 4% des Jahresumsatzes des vorangehenden Geschäftsjahres, je nachdem, welcher der Beträge höher ist. Zudem können solche Datenübermittlungen von den zuständigen Aufsichtsbehörden verboten oder ausgesetzt werden
\n\n
\n\n
Relevante Klauseln in den aktuellen SCC
\n\n
\n\n
Controller to Processor SCC vom 5. Februar 2010 (2010/87/EU)
\n\n
\n\n
Klausel 4 (a): Der Datenexporteur erklärt sich bereit und garantiert, dass die Verarbeitung der personenbezogenen Daten einschließlich der Übermittlung entsprechend den einschlägigen Bestimmungen des anwendbaren Datenschutzrechts durchgeführt wurde und auch weiterhin so durchgeführt wird (...) und nicht gegen die einschlägigen Vorschriften dieses Staates verstößt.
\n\n
\n\n
Klausel 5: Der Datenimporteur erklärt sich bereit und garantiert, dass:
\n\n
\n\n
(a): er die personenbezogenen Daten nur im Auftrag des Datenexporteurs und in Übereinstimmung mit dessen Anweisungen und den vorliegenden Klauseln verarbeitet; dass er sich, falls er dies aus irgendwelchen Gründen nicht einhalten kann, bereit erklärt, den Datenexporteur unverzüglich davon in Kenntnis zu setzen, der unter diesen Umständen berechtigt ist, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten;
\n\n
\n\n
b): er seines Wissens keinen Gesetzen unterliegt, die ihm die Befolgung der Anweisungen des Datenexporteurs und die Einhaltung seiner vertraglichen Pflichten unmöglich machen, und eine Gesetzesänderung, die sich voraussichtlich sehr nachteilig auf die Garantien und Pflichten auswirkt, die die Klauseln bieten sollen, dem Datenexporteur mitteilen wird, sobald er von einer solchen Änderung Kenntnis erhält; unter diesen Umständen ist der Datenexporteur berechtigt, die Datenübermittlung auszusetzen und/oder vom Vertrag zurückzutreten;
\n\n
\n\n
Controller to Controller SCC vom 27. Dezember 2004 (2004/915/EG)
\n\n
\n\n
Klausel I (b): Der Datenexporteur gibt folgende Zusicherungen: Er hat sich im Rahmen des Zumutbaren davon überzeugt, dass der Datenimporteur seine Rechtspflichten aus diesen Klauseln zu erfüllen in der Lage ist.
\n\n
\n\n
Klausel II (c): Der Datenimporteur gibt folgende Zusicherungen: Zum Zeitpunkt des Vertragsabschlusses bestehen seines Wissens in seinem Land keine entgegenstehenden Rechtsvorschriften, die die Garantien aus diesen Klauseln in gravierender Weise beeinträchtigen; er benachrichtigt den Datenexporteur (der die Benachrichtigung erforderlichenfalls an die Kontrollstelle weiterleitet), wenn er Kenntnis von derartigen Rechtsvorschriften erlangt.
\n\n
\n\n
Reaktionen der Datenschutzbehörden
\n\n
\n\n
Inzwischen haben mehrere Datenschutzbehörden sowie der Europäische Datenschutzbeauftragte (Stellungnahme vom 17. Juli 2020), der Europäische Datenschutzausschuss (EDSA) (Stellungnahme vom 17. Juli 2020) und die Deutsche Datenschutzkonferenz (DSK) (Pressemitteilung vom 28. Juli 2020) erste Leitlinien für den künftigen Umgang mit Datenübermittlungen herausgegeben. Auf der Website der IAPP ist eine Übersicht aller bisher veröffentlichten Leitlinien mit Links zu den entsprechenden Dokumenten veröffentlicht.
\n\n
\n\n
Einige Datenschutzbehörden wie die deutschen Datenschutzbehörden in Berlin (Pressemitteilung vom 17. Juli 2020) und Hamburg (Pressemitteilung vom 16. Juli 2020) haben rigorose Erklärungen zur Rechtswidrigkeit von Datenübermittlungen auf der Grundlage der SCC in die USA abgegeben. Die Berliner Datenschutzbehörde fordert gar sämtliche ihrer Aufsicht unterstehenden Verantwortlichen auf, Daten nicht mehr in die USA zu übermitteln, sondern umgehend zu Dienstleistern mit Sitz in der EU oder einem anderen Drittland mit einem angemessenen Schutzniveau zu wechseln.
\n\n
\n\n
Der EDSA hat zusätzlich zu seiner Erklärung FAQ herausgegeben. Weitere Leitlinien, insbesondere hinsichtlich der zusätzlich zu ergreifenden Schutzmassnahmen, werden erwartet.
\n\n
\n\n
\n\n
Was Unternehmen tun können
\n\n
\n\n
Es ist zu erwarten, dass der EDSA, die EU-Kommission und die Aufsichtsbehörden weitere Leitlinien zu den «zusätzlichen Schutzmassnahmen» bereitstellen und dass die EU-Kommission überarbeitete SCC herausgibt. Datenexporteure und -importeure sollten jedoch bereits Massnahmen in Betracht ziehen, um ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der EU in Drittländer zu gewährleisten:
\n\n
\n\n
\n
Verfolgung der weiteren Entwicklung und insbesondere der vom EDSA, der EU-Kommission und Aufsichtsbehörden herausgegebenen Leitlinien und die Herausgabe überarbeiteter SCC.
\n
\n\n
\n\n
\n
Ermittlung und Dokumentation aller grenzüberschreitenden Datenübermittlungen innerhalb der Unternehmensgruppe sowie an Dienstleister und andere Geschäftspartner mit Sitz ausserhalb der EU/CH:
\n
\n\n
\n\n
Wenn personenbezogene Daten auf der Grundlage des EU-US Privacy Shield grenzüberschreitend übermittelt werden, sollten alternative rechtliche Mechanismen bestimmt werden, um solche Übermittlungen nach der DSGVO zu ermöglichen (z.B. SCC unter den vom EuGH festgelegten Bedingungen oder eine der rechtlichen Ausnahmeregelungen nach Art. 49 DSGVO). Verträge sollten entsprechend angepasst werden. Zudem sollte ein Plan erstellt werden, der alle Schritte, Verantwortlichkeiten und Fristen festlegt, einschliesslich der allfälligen Kündigung des EU-US Privacy Shield unter Beachtung der entsprechenden Benachrichtigungspflichten.
\n\n
\n\n
Wenn personenbezogene Daten auf der Grundlage der SCC (einschliesslich konzerninterner Datenübermittlungsvereinbarungen) grenzüberschreitend übermittelt werden, sollte der Datenexporteur gemeinsam mit dem Datenimporteur prüfen, ob die Rechtsvorschriften des Empfängerlands einen angemessenen Schutz der im Rahmen der SCC übermittelten personenbezogenen Daten nach EU-Recht gewährleisten. Insbesondere sollte geprüft werden, ob der Datenimporteur Gesetzen und Praktiken unterliegt, die den Datenzugriff durch öffentliche Behörden erlauben (wie z.B. nach Art. 702 FISA in den USA), und der Datenimporteur daher möglicherweise nicht in der Lage ist, den SCC nachzukommen. In diesem Fall sollte der Datenexporteur eine Datenschutz-Risikoeinschätzung durchführen, um die Wahrscheinlichkeit einer Offenlegung der Daten oder eines Zugriffs auf die Daten, die Datensensibilität, das Datenvolumen und die Aufbewahrungsfristen zu beurteilen, sowie zusätzliche, über die SCC hinausgehende Schutzmassnahmen in Betracht ziehen, wie beispielsweise vertragliche und technische Massnahmen wie Datenverschlüsselung im Transit und im Ruhezustand. Wenn solche zusätzlichen Massnahmen nicht möglich sind, sollte der Datenexporteur die Übermittlung personenbezogener Daten aussetzen oder beenden oder die zuständige Aufsichtsbehörde benachrichtigen, die jede weitere Datenübermittlung verbieten kann.
\n\n
\n\n
Wenn die Übertragung auf BCR beruht, sollte die gleiche Analyse wie bei den SCC durchgeführt werden.
\n\n
\n\n
Wenn die Übermittlung auf einer der gesetzlichen Ausnahmeregelungen gemäss Art. 49 DSGVO beruht, wie z.B. die ausdrückliche Einwilligung oder die Erforderlichkeit zur Erfüllung eines Vertrags, sind vorerst keine weiteren Schritte erforderlich.
\n\n
\n\n
\n
Die Analyse, das Ergebnis und alle unternommenen Schritte sollten ausführlich dokumentiert werden.
\n
\n\n
\n\n
\n
Überprüfung und Anpassung von Due-Diligence-Prozessen und Vertragsvorlagen:
\n
\n\n
\n\n
Um eine angemessene Konformitäts- und Risikobewertung durchführen zu können, sollte der Due-Diligence-Prozess und der Fragebogen zur datenschutzrechtlichen Bewertung von Dienstleistern überarbeitet und mit Fragen über die Existenz von Gesetzen und Praktiken zur Überwachung und zum Datenzugriff, denen der Datenimporteur unterliegt, ergänzt werden. Besondere Aufmerksamkeit sollte auch den internen Regeln und Verfahren des Datenimporteurs hinsichtlich der Behandlung von Anträgen von Behörden und der Benachrichtigung des Datenexporteurs gewidmet werden. Zudem sollten in Zukunft alle Datenimporteure, d.h. nicht nur Auftragsdatenverarbeiter, sondern auch Verantwortliche, evaluiert werden.
\n\n
\n\n
Die Vertragsvorlagen sollten bezüglich der grenzüberschreitenden Datentransfers überarbeitet werden, um die primären Verpflichtungen des Datenexporteurs/-importeurs aus den SCC sowie die Behandlung von Anträgen der Behörden auf Zugang zu personenbezogenen Daten hervorzuheben. Zudem sollte jeglicher Verweis auf das Privacy Shield Framework gelöscht werden.
\n\n
\n\n
\n
Dienstleistungsanbieter (Datenimporteure) können ihre Kunden unterstützen, indem sie die lokalen Gesetze gründlich analysieren, um die Angemessenheit des Schutzniveaus in Bezug auf die EU-Gesetze zu überprüfen und die Einhaltung der SCC zu gewährleisten. Ein solches Vorgehen kann auch dazu beitragen, die Wettbewerbsfähigkeit zu erhalten.
\n
\n\n
\n\n
\n
Einführung (oder Überarbeitung) interner Richtlinien und Verfahren, um grenzüberschreitende Datenübermittlungen im Einklang mit der DSGVO und dem Urteil des EuGH zu regeln.
\n
\n\n
\n\n
\n
Langfristig können Unternehmen erwägen, auf robustere Datentransfermechanismen umzusteigen, wie sie in Art. 46 DSGVO vorgesehen sind, z.B. von den EU-Aufsichtsbehörden genehmigte BCR (für Auftragsdatenverarbeiter und Verantwortliche), Verhaltenskodex oder Zertifizierungsmechanismen.
\n
\n\n
\n","datum":"03.08.2020","teasertext":"
Am 16. Juli 2020 verkündete der Gerichtshof der Europäischen Union (EuGH) sein Urteil in der Rechtssache C-311/18 — Data Protection Commissioner v. Facebook Irland und Maximillian Schrems (Schrems II). In diesem Fall ersuchte M. Schrems die Kommission, die Übermittlung seiner personenbezogenen Daten durch Facebook Irland an die in den USA ansässige Facebook Inc. zu verbieten oder auszusetzen, mit der Begründung, dass dieses Drittland kein angemessenes Schutzniveau gewährleiste. Dieses Urteil hat weitreichende Konsequenzen für jegliche Datenübermittlung aus der EU in Drittländer.
\n","preview":"","datei":[],"linkextern":""},{"id":179,"title":"Privacy by Design in Digital Health (auf Englisch)","slug":"privacy-by-design-in-digital-health","link":"/de/news/privacy-by-design-in-digital-health","titel":"Privacy by Design in Digital Health (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Introduction
\n\n
\n\n
The exponential growth of digital health solutions and products, such as software or internet-enabled devices, brings a range of benefits for patients, the health industry and the general public, from preventing new diseases, monitoring patient conditions, data analysis, personalised medicine to reducing health costs through more efficient processes.
\n\n
\n\n
To be effective, these technologies rely on the use of large amounts of data. Particular caution is needed when personal data are involved, as the processing of personal data, in particular health-related data, can pose significant risks to the privacy of data subjects and the security of personal data. It is therefore of utmost importance to implement the fundamental data protection principles as laid down in data protection laws, such as the EU General Data Protection Regulation (EU) 2016/679 of 27 April 2016 (GDPR), the EU directive on privacy and electronic communications (Directive 2002/58/EC of 12 July 2002) and applicable national data protection laws. In particular, principles such as data minimisation and transparency, as well as technical security measures such as pseudonymisation or encryption, must be embedded in the design, development, and use of such solutions. In short: privacy by design must be implemented.
\n\n
\n\n
With the outbreak of COVID-19 and the efforts to find fast digital solutions to contain the spread of the virus, in particular through so-called contact tracing apps, which should help to efficiently interrupt chains of infection, the concept of privacy by design has gained in importance and awareness. For such apps to be successful and effective, they must be designed in such a way that the privacy of the individual and the protection of his or her personal data is guaranteed, at least in Europe. People must be assured that they are in control of their data, that their data are secure and only used for well-defined purposes and that their privacy rights are respected. Public trust and acceptance is of paramount importance to encourage the use of such applications, where their use is voluntary.
\n\n
\n\n
In order to realise the benefits of digital health solutions, those responsible for the development and management of such solutions and data processing, such as healthcare companies or public authorities, must meet the expectations of individuals, gain and maintain their trust and respect their privacy. Privacy by design has become a critical factor in building and maintaining trust, competitiveness, and success in the marketplace.
\n\n
\n\n
The challenge is to find the right balance between the potential of digital health to improve health services on the one hand and the protection of the personal rights of patients and consumers on the other. All legitimate interests and objectives, including data protection, should be taken into account without unnecessary compromise. This approach requires creative solutions in technical and organisational respects.
\n\n
\n\n
This article examines the privacy aspects under the GDPR that need to be taken into account when designing digital health solutions and why this is important to fully exploit the potential of digital health. It also attempts to clarify the concept of privacy by design and to translate legal requirements into practical solutions, with a focus on mobile applications in the context of digital health.
\n\n
\n\n
2 Emerging digital health technologies
\n\n
\n\n
Digital health refers to the use of information and communication technologies (ICT) to improve the quality, efficiency, and management of healthcare. Examples of digital health technologies include telemedicine, health monitoring and care with robots and sensors; wearables, i.e. mobile sensors worn directly on the body that record and analyse physiological data such as blood pressure, temperature, pulse or blood sugar levels in real time; and more generally the Internet of Things (IoT), i.e. the networking of physical devices equipped with software, sensors and network connectivity to collect and exchange data. Another example are the so-called contact tracing apps mentioned above, which are highly topical at the time of writing, and which are being developed by various countries worldwide to combat the spread of COVID-19. These apps are designed to alert people who have been in proximity to an infected person for a certain period of time so that they can take appropriate action.
\n\n
\n\n
3 The concept of privacy by design
\n\n
\n\n
The concept of privacy by design (PbD) is a fundamental prerequisite for the effective implementation of data protection. In essence, PbD requires that controllers take into account the principles and requirements of data protection both in the design phase of systems, processes, products or services and throughout the life cycle of personal data and that they provide for appropriate technical and organisational measures (TOMs) to implement the data protection requirements and to protect the rights of data subjects. Controllers are required to be proactive and anticipate potential privacy-invasive events before they materialise. Privacy by default is a fundamental element of privacy by design. It requires the controller to implement appropriate TOMs to ensure that, by default, only personal data necessary for each specific purpose of processing are processed. PbD must be implemented in relation to the quantity of data collected, the scope of their processing, the period of their storage, and their accessibility.
\n\n
\n\n
While the concept of PbD as a good practice has long existed, it was introduced as a legal obligation in Art. 25 GDPR with substantial fines in case of failure. With this, the legislator wanted to emphasise that it is not enough to set standards, but that these standards must be implemented in an effective and verifiable manner. However, Art. 25 GDPR does not specify how this obligation should be implemented in practice.
\n\n
\n\n
The implementation of PbD requires an assessment of the organisational, process, or product-related risks as well as the privacy risks for data subjects. This assessment aims to determine the necessary measures to be integrated from the outset as part of these products, systems, or processes to meet data protection requirements and to protect the privacy of data subjects. Risks may include, for example, excessive collection and disclosure of personal data, processing beyond the initial purpose, unlawful processing, loss, destruction, or alteration of data. Such risk assessment, coupled with a conformity assessment, is required for any processing of personal data, regardless of the sensitivity of the data.
\n\n
\n\n
Only if the processing is likely to present a high risk to the rights and freedoms of the data subjects, the controller must carry out a data protection impact assessment (DPIA) according to Art. 35 GDPR. A DPIA is a more comprehensive assessment that goes beyond conformity assessment by assessing the remaining risks to individuals, taking into account the TOMs embedded in the design of the product, system, or process. If the residual risk is still considered to be high, the controller must take further risk mitigation measures or, if this is not possible, refrain from processing or consult the data protection authorities. A DPIA will regularly be required for digital health solutions where health-related data or other special categories of data are processed, or technologies are used that may involve new forms of data collection and use.
\n\n
\n\n
4 Implement privacy by design in practice
\n\n
\n\n
4.1 Who is legally responsible for implementing privacy by design?
\n\n
\n\n
According to Art. 25 GDPR, the controller must implement the concept of PbD. Manufacturers, developers and service providers that are not controllers are only encouraged in Recital 78 GDPR to take into account 'privacy by design' when developing, designing, selecting and using applications, services and products based on the processing of personal data and to ensure that controllers and processors can comply with their data protection obligations. In practice, manufacturers of intelligent devices and health application developers will have a keen interest in fully implementing the concept of \"privacy by design\" to remain competitive.
\n\n
\n\n
4.2 What does the concept of privacy by design require from the controller?
\n\n
\n\n
The controller must establish technical measures, such as, for example, pseudonymisation, access authorisations, and restrictions, user authentication, encryption, logging, securing system configurations, protection measures against malware and data loss, and physical protection measures.
\n\n
\n\n
Furthermore, the controller must take organisational measures that are necessary for a well-functioning data protection management. These measures may include, for example, the allocation of responsibilities for the effective implementation of data privacy requirements, the implementation of enforceable policies and procedures for handling and documenting data breaches and data subject access requests, risk management, third-party management, data transfer governance, documentation of processing activities, training and controls. Also, the controller must take appropriate measures to respond to a withdrawal of consent, to a request for rectification or erasure of personal data or the portability of data.
\n\n
\n\n
4.3 How must the technical and organisational measures be?
\n\n
\n\n
The TOMs must be adequate and appropriate to
\n\n
\n\n
\n
effectively implement data protection principles, such as data minimisation, lawfulness, transparency, confidentiality, purpose limitation, data integrity, storage duration, security, as well as the requirements concerning commissioned data processing and cross-border data transfers;
\n
integrate the necessary safeguards into the processing to meet the requirements of the GDPR; and
\n
protect the rights of data subjects.
\n
\n\n
\n\n
A measure is adequate if it takes into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing.
\n\n
\n\n
4.4 When must TOMs be implemented?
\n\n
\n\n
The controller must implement TOMs both at the time of determining the means of processing and during the processing itself.
\n\n
\n\n
4.5 What data protection aspects must be taken into account in digital health solutions?
\n\n
\n\n
First, it must be determined which laws and regulations are applicable, in particular, whether the GDPR is applicable. It should also be examined whether sector-specific codes of conduct, certification systems, regulatory decisions, or guidelines for the development of digital health products are applicable. Ethical considerations should also be taken into account.
\n\n
\n\n
Secondly, it is necessary to determine which parties are involved in the development, deployment, and use of the product and the respective roles of these parties, who is the controller (several parties may be joint controllers) and, where appropriate, who is a processor. The identification of the controller, i.e., the party which alone or jointly with others determines the means and purposes of the data processing, is essential to determine who is responsible and accountable for complying with data protection requirements under the GDPR.
\n\n
\n\n
The following section explains which data protection principles must be observed and how they can be implemented in practice, with a focus on the use of mobile health apps.
\n\n
\n\n
Proportionality and data minimization
\n\n
\n\n
Personal data must be adequate, relevant, and limited to what is necessary for the purposes for which they are processed. This means that apps and devices that store or process personal data should be set up in such a way that only the data necessary for the respective purpose or the proper functioning of the app or device are stored and processed.
\n\n
\n\n
Personal data are defined as any information relating to an identified or identifiable natural person. In the context of a mobile application, data relating to the device, such as location data or usage data, are also considered personal data. Pseudonymised data, meaning data that are processed in such a way that they can no longer be attributed to a specific data subject without the use of additional information that is kept separately and securely, are also classified as personal data. Only irreversibly anonymised data are not considered personal data and are therefore not subject to the GDPR (and other data protection laws).
\n\n
\n\n
The principle of data minimisation can be achieved in different ways, for example, by reducing the amount of personal data or by making it more difficult or impossible to assign the data to an individual.
\n\n
\n\n
The type and amount of data necessary for the identified purpose may vary depending on the application area of the product. If, for example, an app is only used for information purposes, the collection of personal data is usually not necessary or pseudonymised login data might be sufficient. However, if an app is to monitor health and, if necessary, interact with a doctor or other persons, considerably more data, especially identification and health data, may be required. In the case of a COVID-19 contact tracing application to alert people who have been in the vicinity of a positive tested person, proximity data collected using Bluetooth technology should be sufficient. Location data that can be used to track individuals are not necessary for this purpose, nor are other personal data. Anonymised or at least pseudonymised data should be sufficient.
\n\n
\n\n
Depending on the functionalities of the app and the purpose of processing, it must, therefore, be evaluated for each data set whether the data are necessary to fulfil the purpose or whether the purpose can be fulfilled with less data (reduction of the data volume) or pseudonymised/anonymised data (making identification more difficult or impossible). A distinction should also be made between mandatory and voluntary data, which can be provided additionally to use specific functionalities.
\n\n
\n\n
Further measures to minimise data can consist in preventing the linking of personal data collected via the product with personal data stored in other systems unless such linking is necessary for the purpose. Location data should not be collected and stored if a generic location area is sufficient for the application functionality.
\n\n
\n\n
A central question is also where the data should be stored, i.e., only on the user's terminal device or on a central server, and who should have access to the data. If the data are only stored on the mobile device, the user has full control over the data and access. However, if the data are stored on a central server, other people can have access over which the user has no control. This question is currently being hotly debated in connection with the development of a COVID-19 tracing app, whereby the proponents of a decentralised solution believe that this approach is more consistent with the principle of data minimisation.
\n\n
\n\n
Which approach is ultimately chosen depends on the type of the mobile health app and its purposes. With both models, appropriate TOMs must be taken to protect the data from unauthorised access and misuse.
\n\n
\n\n
Legal justification
\n\n
\n\n
The processing of personal data must be lawful and carried out in good faith and must have a legal basis, as set out in Art. 6 and 9 of the GDPR and the ePrivacy Directive. The ePrivacy Directive requires the user's consent for the storage of information or access to stored data on the user's equipment unless the storage and access are legally permitted under national law, or the storage and access are strictly necessary to provide a service explicitly requested by the user. The consent shall also be required for the use of non-essential cookies or similar technologies on users' equipment and for the processing of location data other than traffic data, provided that such data are not anonymised.
\n\n
\n\n
In health or medical applications collecting and processing special categories of a patient or consumer data, the processing of these data will regularly require the explicit consent of the data subject. Consent must be voluntary and specific to each functionality that serves different purposes. Consent must be based on prior information and, in the case of special categories of data, the use of cookies or location data, consent must be given explicitly and therefore through positive action, such as downloading the application and ticking a consent box. Also, controllers must have a procedure in place which, on the one hand, allows for easy withdrawal of consent and, on the other hand, ensures that in the event of withdrawal, the data collected will not be further processed.
\n\n
\n\n
Transparency
\n\n
\n\n
Personal data must be processed transparently. Comprehensive privacy notice about what personal data are processed, how they are processed, and what they are used for, as described in Art. 12-14 GDPR, must be made available to the data subjects before their data are processed. This notice must, if applicable, also contain information on the use of cookies or similar technology on the terminal equipment and location data, as well as methods for refusing to store such cookies or giving consent to the use of cookies and location data.
\n\n
\n\n
Data subjects should have full transparency and control over the processing of their data and understand what data are processed, why, by whom, where and for how long, and how they can exercise their privacy rights.
\n\n
\n\n
The privacy notice should be easily accessible to data subjects at any time, before the collection of personal data and throughout the processing, either within the device or through a link to a website. The notice should be easy to understand, where appropriate in different languages, and have a multi-layered structure in which the essential information is summarised in a first layer, possibly supported visually by symbols, and with further details in a second layer if the user wishes to know more. The product should also enable for changes to the privacy notice and should allow users to manage their profiles and update their privacy settings.
\n\n
\n\n
Confidentiality and access to personal data
\n\n
\n\n
Personal data must be kept strictly confidential and may only be provided or disclosed to individuals on a need-to-know basis to fulfil the legitimate purposes for which the information was collected.
\n\n
\n\n
It is essential to determine whether access to the data by persons other than the user, such as doctors, service providers, insurance companies or authorities, is necessary to fulfil the purposes for which the data are processed. Accesses to the data, devices, server, and network should be documented.
\n\n
\n\n
Among the key issues are: Can the user influence and manage these accesses directly through the product? Who enters the data, only the user of the product or other persons, such as a doctor or a pharmacist? Are any service providers involved in the storage or other processing of the data? How is access or sharing of the data secured? Are the data encrypted during transmission and in storage? Who should have access to what personal data and for what purposes? Are these persons obliged to maintain confidentiality? How is access controlled and restricted?
\n\n
\n\n
Purpose limitation
\n\n
\n\n
Personal data must be collected only for specified, explicit, and legitimate purposes and not further processed in a way incompatible with those purposes.
\n\n
\n\n
The purpose of the processing should be specific and explicit and communicated to data subjects at the time of collection. The functionalities of the app should be set up as such that personal data are only processed for the specific purpose that was identified. Access to servers should be limited to persons that are committed to processing the data for the specified purpose only. If the personal data are to be used for purposes other than those notified, the data should be made anonymous, unless there is another legal basis for this secondary use. In any case, the data subjects should be informed and, unless there is no other legal basis, their consent should be obtained.
\n\n
\n\n
Data quality
\n\n
\n\n
Personal data stored must be accurate and, where necessary, up to date; every reasonable step must be taken to ensure that inaccurate personal data are deleted or rectified without delay.
\n\n
\n\n
The controller must have mechanisms in place to ensure that the data are accurate at the time of collection and are not unlawfully modified after that. There must be a mechanism to correct or delete inaccurate data, possibly by the user of the application.
\n\n
\n\n
Data retention
\n\n
\n\n
Personal data must be kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed, unless regulatory or legal requirements require a longer or shorter retention period.
\n\n
\n\n
The controller must define a retention period for each data set, based on the purpose of the processing and, where appropriate, legal and regulatory retention periods. Mechanisms, including automatic solutions, where appropriate, and responsibilities for the effective erasure of the data must also be specified. If the data cannot be deleted, they should be made anonymous or, if this is not possible, pseudonymous.
\n\n
\n\n
Among the key issues are: Does the product allow for flexible data retention periods? Does the product enable the anonymization or deletion of data that is no longer needed? Is the data automatically deleted or anonymised after the retention period has expired? Is the data controller notified in advance by the system? Can users delete the data, and if so, how (e.g., by deactivating the app used)? Is there a retention and deletion concept?
\n\n
\n\n
Data security
\n\n
\n\n
Personal data must be processed in a manner that ensures appropriate security of the data, including protection against unauthorised or unlawful processing and accidental loss, destruction or damage, using appropriate TOMs. Such measures should encompass integrity and confidentiality, availability, resilience, and traceability and ensure a level of security appropriate to the risk.
\n\n
\n\n
Appropriate control access mechanisms and authentication measures should be embedded in the product infrastructure to detect and monitor unauthorised access to the data. Personal data should be encrypted on the device and, if stored on a server or shared with third parties, in transit and storage. Special attention is required if the data are stored in the cloud.
\n\n
\n\n
Privacy rights
\n\n
\n\n
Data subjects have a variety of privacy rights, including the right to information, the right of access, rectification and erasure, restriction of processing, data portability and the right to object to automated individual decision-making. They also have the right to complain with their supervisory authority if they feel that their rights are infringed, or their data are not appropriately protected. A process must be in place to respond to data subjects’ access requests and other privacy rights.
\n\n
\n\n
Among the key issues are: How can data subjects effectively exercise their rights? Does the product allow data subjects to exercise their rights directly through the app, in particular the right to access their data and correct it in case of inaccuracies or to delete the data from the mobile device by deleting the app? Are any rights restricted? How are rights such as data portability, deletion, or withdrawal of consent guaranteed?
\n\n
\n\n
Data processing by third parties and cross-border data transfers
\n\n
\n\n
Depending on the roles of the contributors in the development, management, and use of the app and the data processed, appropriate contractual obligations must be established to ensure data protection.
\n\n
\n\n
The controller must carry out a prior assessment of all data processors to ensure that they implement appropriate TOMs to ensure compliance with the data protection requirements and data subjects’ privacy rights.
\n\n
\n\n
If personal data are to be transferred to third parties outside the EEA in a country without a formal adequacy decision by the European Commission, adequate safeguards, such as EU standard contractual clauses, must be implemented to legitimise cross-border data transfers, unless a derogation as listed in Art. 49 GDPR applies, such as the explicit consent of the data subject.
\n\n
\n\n
For any cross-border data flow, the legal basis for such a transfer must be determined, and the necessary steps taken.
\n\n
\n\n
Accountability
\n\n
\n\n
The controller is responsible for ensuring compliance with the data protection principles and for providing proof of compliance with them. Appropriate processes, regular risk assessments, documentation, and reviews of the processing should be in place to support this obligation.
\n\n
\n\n
5 Conclusion
\n\n
\n\n
To fully exploit the benefits of digital health solutions and ensure their effectiveness, it is essential to embed fundamental data protection principles in the design of these solutions, taking into account organisational, process and product-related risks, as well as risks to the rights of data subjects.
\n\n
\n\n
Privacy by design is not only required by the GDPR and partly by laws of other countries outside the EEA but is a prerequisite for the effective and sustainable implementation of data protection, the basis for a well-functioning data protection management and a critical factor in achieving the necessary trust of the public, patients and consumers, public authorities, business partners and other stakeholders in such technologies.
\n","datum":"13.07.2020","teasertext":"
Die zunehmende Verwendung digitaler Technologien im Gesundheitsbereich, wie Software oder internetfähige Geräte, bringt eine Reihe von Vorteilen für Patienten, das Gesundheitswegen und die Allgemeinheit. Um wirksam zu sein, sind diese Technologien auf die Nutzung grosser Datenmengen angewiesen. Besondere Vorsicht ist geboten, wenn es um personenbezogene Daten geht, da die Verarbeitung personenbezogener Daten, insbesondere gesundheitsbezogener Daten, erhebliche Risiken für die Privatsphäre der betroffenen Personen und die Datensicherheit mit sich bringen kann. In diesem Artikel werden die Datenschutzaspekte untersucht, die bei der Entwicklung digitaler Gesundheitslösungen unter der DSGVO berücksichtigt werden müssen. Ausserdem erläutert er das Konzept von «Privacy by Design» und versucht, die rechtlichen Anforderungen in praktische Lösungen umzusetzen, wobei der Schwerpunkt auf mobilen Anwendungen im Gesundheitsbereich liegt. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":100,"title":"Warum sollten Unternehmen in Binding Corporate Rules investieren? (auf Englisch)","slug":"why-should-companies-invest-in-binding-corporate-rules","link":"/de/news/why-should-companies-invest-in-binding-corporate-rules","titel":"Warum sollten Unternehmen in Binding Corporate Rules investieren? (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Introduction
\n\n
\n\n
Article 47 of the EU General Data Protection Regulation (\"GDPR\") expressly recognizes Binding Corporate Rules (\"BCR\") as one of the means for the international transfer of personal data, both for controllers (covering personal data they control) and for processors (covering personal data they process on behalf of others based on a processing agreement). Before the GDPR came into force, BCR were recognized and approved by the current practice of the data protection authorities and the guidelines of the Article 29 Working Party (“Working Party”). Other countries outside of the EU, such as Switzerland, recognize the concept of BCR as well.
\n\n
\n\n
What is the practical significance of BCR for companies and why should companies invest in BCR? This article shall explore what BCR under the GDPR are, what needs to be considered when applying and implementing BCR and their benefits.
\n\n
\n\n
2 What are Binding Corporate Rules?
\n\n
\n\n
The GDPR defines the term “Binding Corporate Rules” in Art. 4 para. 20 as “personal data protection policies which are adhered to by a controller or processor established on the territory of a Member State for transfers or a set of transfers of personal data to a controller or processor in one or more third countries within a group of undertakings, or group of enterprises engaged in a joint economic activity”.
\n\n
\n\n
BCR are therefore one of the appropriate safeguards for the transfer of personal data within a group of undertakings, or group of enterprises engaged in a joint economic activity (“Group”) from the EEA to countries which do not provide an adequate level of data protection. In practice, BCR are a set of internal rules, standards and processes, such as codes of conduct, that regulate internal data management practices in a binding and consistent manner throughout the Group with the primary objective to facilitate the free movement of personal data within that Group while ensuring an effective level of data protection. BCR are, however, not intended to be used as a means for allowing cross-border data transfers to companies not being part of that Group.
\n\n
\n\n
The concept and content of the BCR have mainly remained the same under the GDPR, with some minor changes. One significant change is the extension of the group of applicants. While BCR were previously only applicable to groups of undertakings, they are now also open to groups of enterprises engaged in joint economic activities. The term \"group of undertakings\" is defined in Art. 4 para. 19 GDPR as \"controlling undertaking and its controlled undertakings\". However, the term \"group of enterprises engaged in a joint economic activity\" is not defined in the GDPR. The term is open for interpretations but may be interpreted as to include a group of independent organizations which have agreed to cooperate, such as joint ventures.
\n\n
\n\n
Also, the list of minimum requirements has been extended to include the contact details of each member of the Group, the description of the principles of privacy by design and privacy by default, the right not to be subject to profiling, the information obligations according to Art. 13 and 14 GDPR, and the details of the persons responsible for training and complaint procedures.
\n\n
\n\n
The Working Party provides in WP 256 (BCR for controllers) and WP 257 (BCR for processors) updated guidelines and very useful tables setting out the elements and principles that controllers and processors should state in their BCR, incorporating the new language in line with the GDPR and the necessary content mandated by Art. 47 GDPR and making a distinction between what must be included in the BCR and what must be presented to the competent supervisory authority in the BCR application.
\n\n
\n\n
BCR must comply with a whole range of requirements and must contain all elements as set out in Art. 47 para. 2 GDPR, including:
\n\n
\n\n
\n
The structure and contact details of the group of undertakings, or group of enterprises engaged in a joint economic activity and of each of its members;
\n
\n\n
\n\n
\n
The data transfers or set of transfers, including the categories of personal data, the type of processing and its purposes, the type of data subjects affected and the identification of the third country or countries in question;
\n
\n\n
\n\n
\n
Their legally binding nature, both internally and externally;
\n
\n\n
\n\n
\n
The application of the general data protection principles, in particular purpose limitation, data minimization, limited storage periods, data quality, data protection by design and by default, legal basis for processing, processing of special categories of personal data, measures to ensure data security, and the requirements in respect of onward transfers to bodies not bound by the BCR;
\n
\n\n
\n\n
\n
The rights of data subjects in regard of processing and the means to exercise those rights, including the right not to be subject to decision based solely on automated processing, including profiling, the right to lodge a complaint with the competent supervisory authority and before the competent courts, and to obtain redress and, where appropriate, compensation for a breach of the BCR;
\n
\n\n
\n\n
\n
The acceptance by the controller or processor established on the territory of a Member State of liability for any breaches of the BCR by any member concerned not established in the Union, whereby the controller and the processor shall be exempt from that liability, in whole or in part, only if it proves that that member is not responsible for the event giving rise to the damage;
\n
\n\n
\n\n
\n
How the information on the BCR, in particular on the provisions relating to the general data protection principles, the rights of the data subjects, and the liability for any breaches of the BCR is provided to the data subjects;
\n
\n\n
\n\n
\n
The tasks of any data protection officer designated in accordance with Art. 37 GDPR or any other person or entity in charge of monitoring compliance with the BCR as well as monitoring training and complaint handling;
\n
\n\n
\n\n
\n
The complaint procedures;
\n
\n\n
\n\n
\n
The mechanisms for ensuring verification of compliance with the BCR. Such mechanisms shall include data protection audits and methods for ensuring corrective actions to protect the rights of the data subject. Results of such verification should be communicated to the DPO or any other person in charge of monitoring compliance with the BCR and to the board of the controlling undertaking, and should be available upon request to the competent supervisory authority;
\n
\n\n
\n\n
\n
The mechanisms for reporting and recording changes to the BCR and reporting those changes to the supervisory authority;
\n
\n\n
\n\n
\n
The cooperation mechanisms with the supervisory authority to ensure compliance by any member of the group of undertakings, or group of enterprises engaged in a joint economic activity, in particular by making available to the supervisory authority the results of verifications;
\n
\n\n
\n\n
\n
The mechanisms for reporting to the competent supervisory authority any legal requirements to which a member of the group of undertakings, or group of enterprises engaged in a joint economic activity is subject in a third country which are likely to have substantial adverse effect on the guarantees provided by the BCR; and
\n
\n\n
\n\n
\n
The appropriate data protection training to personnel having permanent or regular access to personal data.
\n
\n\n
\n\n
3 What do companies commit themselves to when signing the BCR?
\n\n
\n\n
By signing the BCR, companies undertake to comply with and implement the rules, in particular to:
\n\n
\n\n
\n
set up a procedure for managing and monitoring the implementation of the BCRs;
\n
\n\n
\n\n
\n
make the BCR binding on employees;
\n
\n\n
\n\n
\n
make the rights of data subjects easily accessible, as set out in the BCR, e.g. via the intranet and the Internet;
\n
\n\n
\n\n
\n
introduce disciplinary procedures for staff who infringe the BCRs;
\n
\n\n
\n\n
\n
comply with the data protection principles as set out in the BCR;
\n
\n\n
\n\n
\n
provide basic training for all employees and specific training for employees with regular access to personal data;
\n
\n\n
\n\n
\n
carry out regular compliance assessments on data protection to ensure the effective application of the BCR;
\n
\n\n
\n\n
\n
establish a procedure to ensure adequate handling of complaints;
\n
\n\n
\n\n
\n
accept liability for any breach of its obligations under the BCR;
\n
\n\n
\n\n
\n
cooperate with other Group companies and support them in dealing appropriately with inquiries from supervisory authorities or other authorities as well as from data subjects; and
\n
\n\n
\n\n
\n
cooperate with and allow audits by the relevant regulatory authorities.
\n
\n\n
\n\n
4 What should organizations consider before applying for BCR?
\n\n
\n\n
The use of BCR as an appropriate safeguard for international data transfers from the EEA requires the approval of the competent supervisory authority in the relevant jurisdiction following the consistency mechanism set out in Art. 63 and 64 GDPR. The competent supervisory authority will approve the BCR under the condition that:
\n\n
\n\n
\n
BCR are legally binding and enforceable on the undertakings concerned;
\n
\n\n
\n\n
\n
BCR expressly confer on the data subjects’ enforceable rights concerning the processing of their personal data; and
\n
\n\n
\n\n
\n
BCR comply with the minimum information requirements set out in Art. 47 para. 2 GDPR.
\n
\n\n
\n\n
Before applying for BCR approval, an organization should carefully consider and answer some key questions:
\n\n
\n\n
What does the company want to achieve with the approved BCR?
\n\n
\n\n
Is the only objective to facilitate the free flow of personal data within the Group? If so, has the organization considered alternatives, if any, to achieve this objective, such as concluding an intra-group data transfer agreement (“IGDTA”)? Alternatively, is the company's goal, besides safeguarding cross-border data transfers, also to achieve and demonstrate accountability and commitment to responsible data use? If so, the organization should assess whether BCR are the right approach or whether there are other options such as certification or a code of conduct, which might be more suitable for achieving the interests of the organization.
\n\n
\n\n
Which BCR should be implemented?
\n\n
\n\n
The organization must determine if it wants to apply for BCR for controllers or BCR for processors, or both. Depending on that decision, the appropriate requirements must be fulfilled.
\n\n
\n\n
What shall be the scope of the BCR?
\n\n
\n\n
Shall the BCR only cover personal data transferred from the EEA within the Group or shall they cover all processing of personal data within the Group? This last option would include any data and go far beyond the legal requirements extending the liability and privacy rights. This extension is ultimately a decision that each organization must take and may be appropriate for organizations that have decided to establish the same set of rules, standards and rights throughout the whole organization, irrespective of the jurisdiction and legal requirements. The organization must also determine if it wants to cover all personal data or limit the BCR to only a set of data such as HR or customer data. Finally, the organization must determine if all members of the Group shall be bound by the BCR or only a selected number of companies.
\n\n
\n\n
Which supervisory authority should be the lead authority for the BCR (“BCR Lead”)?
\n\n
\n\n
The BCR Lead is the authority that acts as the single point of contact with the applicant organization during the authorization procedure and the application process in its cooperation phase. The BCR Lead may differ from the \"one-stop-shop\" lead supervisory authority according to Art. 56 GDPR, which is mainly involved in handling data breaches and investigatory or enforcement activities in cross-border processing operations within the EU. The organization applying for BCR authorization must justify the reasons why a particular supervisory authority should be considered as the BCR Lead. The criteria for such justification are set out in WP 263:
\n\n
\n\n
\n
The location of the Group’s European headquarters;
\n
\n\n
\n\n
\n
The location of the company within the Group with delegated data protection responsibilities;
\n
\n\n
\n\n
\n
The location of the company which is best placed (in terms of the management function, administrative burden, etc.) to deal with the application and to enforce the BCR in the Group;
\n
\n\n
\n\n
\n
The place where most decisions in terms of the purposes and the means of the processing (i.e. transfer) take place; and
\n
\n\n
\n\n
\n
The member state within the EU from which most or all transfers outside the EEA will take place.
\n
\n\n
\n\n
For companies with their head office or principal place of business in the EU, the justification is quite simple. However, how should companies with their registered office outside the EU and without a principal place of business in the EU choose the appropriate supervisory authority and justify their choice? What arguments could be put forward if there is no Member State within the EU from which most or all transfers are made outside the EEA, but such transfers are roughly the same between all entities in the EU? In this case, the organization may delegate responsibilities to the Group company that is best placed to process the application for BCR on behalf of the Group. This entity should be located in one of the most important countries for the Group with a strong presence and at the same place as the chosen supervisory authority.
\n\n
\n\n
Once the organization has selected the BCR Lead based on the criteria mentioned above, it will submit its application to that supervisory authority. It should be noted, however, that the selected supervisory authority is not obliged to accept the choice if it believes that another supervisory authority is more suitable to be the BCR Lead, in particular taking into account the workload and number of pending BCR applications. The requested supervisory authority will share the application with all concerned supervisory authorities to make a final decision on which supervisory authority is appointed as BCR Lead.
\n\n
\n\n
It is advisable that the organization contacts the selected supervisory authority before applying to check whether the supervisory authority is, in principle, willing to act as BCR Lead or whether there may be objections from the supervisory authority, for example, due to lack of resources to deal with the application in a timely manner.
\n\n
\n\n
What should the liability system look like?
\n\n
\n\n
Art. 47 para. 2f requires the acceptance by the controller or processor established on the territory of a Member State of liability for any breaches of the BCR by any member concerned not established in the Union. WP 256 and WP 257 provide that, where it is not possible for a Group with particular corporate structures to impose on a specific entity to take all the responsibility for any breach of the BCR outside of the EU, it may provide that every BCR member exporting data out of the EU on the basis of the BCR will be liable for any breaches of the BCR by the BCR member established outside the EU which received the data from this EU BCR member. Will it be acceptable for the BCR Lead to introduce an alternative liability system in line with the Standard Contractual Clauses? If not, which Group company could take responsibility? What are the options? Clarification of this issue is crucial, especially for companies based outside the EU which do not have a main establishment in the EU. For some organizations, it may not be feasible to allocate responsibility for the payment of damages to a local entity as a result of a breach of the BCR by a Group company outside the EU.
\n\n
\n\n
What is the implementation status of the data privacy management program within the organization?
\n\n
\n\n
Has the organization already implemented global standards, policies and procedures, and if so, what is the maturity level at the corporate level and throughout the organization? Where are potential gaps and risks? Depending on the groundwork done and the maturity level of the data protection management program, the BCR approval process may take longer or shorter.
\n\n
\n\n
Is the buy-in of key stakeholders secured?
\n\n
\n\n
Do key stakeholders, from executive management to key country organizations and functions, offer their buy-in to the process? Stakeholder support requires their awareness and understanding of the need and benefits of implementing BCR, the commitments that each business unit and function must make with BCR approval, and the expectations placed in them. Preliminary discussions and presentation of the business case with these stakeholders are therefore an essential step before applying for BCR.
\n\n
\n\n
Are there sufficient resources and expertise to manage the approval and implementation of BCR?
\n\n
\n\n
Is there a team in place to develop the BCR, collect all relevant information, involve the relevant functions, discuss with the BCR Lead and manage the communication and implementation of the BCR across the organization? This team may consist of a leader and project manager as well as contributors to critical functions and most important markets. A proper functioning internal team is crucial to a smooth approval process and implementation throughout the organization. For smaller companies with fewer resources and expertise in data protection and project management, the involvement of external experts should be considered.
\n\n
\n\n
5 What should organizations consider once BCR approval is obtained?
\n\n
\n\n
The approval of the BCR is an essential step in the whole process. However, the BCR have no practical effect if not correctly implemented throughout the Group. Therefore, in parallel to the approval process, it is crucial that the organization that is responsible for the implementation of the BCR puts in place a concrete and enforceable communication and implementation plan with responsibilities and reasonable timelines. Here are some suggestions as to what such a plan should at least contain:
\n\n
\n\n
A communication plan that sets out who should inform whom, how, when and about what during the whole process. When applying for BCR approval, all Group companies and functions at the corporate and local level should be informed of the content and impact of the BCR, in particular their obligations, and of the progress of the BCR approval process. They should also be informed of the steps they need to take before approval to best prepare for the implementation of the BCR. Throughout the process, it is also advisable to address possible problems, questions and concerns to ensure the broadest possible support and to prevent serious issues or concerns from arising following the approval of the BCR. In some countries, works councils must also be informed or consulted, and finally, once approved and implemented, all employees who regularly process personal data must be informed and trained. Clear roles and responsibilities must be assigned to ensure appropriate communication at each level of the organization.
\n\n
\n\n
An implementation plan that is addressed to those functions and individuals responsible for implementing the privacy management program and the BCR, in practice the data protection officers, managers or champions, and outlines what needs to be done, when and how. The steps may include the preparation by adopting the Group privacy policy framework and implementing the data protection management program at the local level, signing the BCR and making them binding upon employees, training employees, verifying compliance with the BCR and handling complaints.
\n\n
\n\n
Effective BCR require the establishment of an organization with responsible persons at corporate and local level to implement the BCR and monitor compliance. A person at corporate level should be appointed to maintain an updated list of BCR members, monitor the state of implementation and any changes, and report annually to the supervisory authority.
\n\n
\n\n
6 Why should organizations invest in BCR?
\n\n
\n\n
In practice, many companies have concluded so-called intra-group data transfer agreements (“IGDTA”) covering the cross-border transfer of personal data within their Group. So why should companies go through the effort of implementing BCR when they can achieve the same goal with an IGDTA? Companies with an IGDTA meet the legal requirements for cross-border data transfer. However, they may not benefit from the impact of BCR, which significantly increase awareness and understanding of privacy requirements within the organization and establish accountability for compliance with data protection requirements in each function and business unit at corporate and local levels throughout the organization. Also, the effort required to create an IGDTA that includes the evaluation of all types of data flows, categories of personal data, purposes and safeguards, as well as the recipients of the data, the documentation of this information, the possible translation into the local language and the signing of contracts by all affiliates, should not be underestimated. It requires the involvement of all business units and functions at global and local levels. At the same time, the IGDTA often remains in a drawer after signing and is never considered again. Rarely will companies implement an IGDTA by establishing appropriate policies, procedures, processes and training.
\n\n
\n\n
Organizations that develop and implement BCR regularly aim at achieving an appropriate data protection governance structure with uniform standards and processes across the enterprise and not only at transferring their data legitimately within the Group. With the approval of the BCR by the supervisory authorities, organizations also want to show that they not only take data protection seriously, but also effectively implement the requirements in the company and assume responsibility for compliance with data protection.
\n\n
\n\n
BCR are based on a comprehensive and effective data protection management program with all the elements required to demonstrate accountability. These elements include:
\n\n
\n\n
\n
A governance structure with leadership and oversight of the data protection program;
\n
\n\n
\n\n
\n
A policy framework with policies and procedures to ensure fair and responsible processing of personal data;
\n
\n\n
\n\n
\n
Transparency through appropriate communication to data subjects;
\n
\n\n
\n\n
\n
Risk assessment and management at the program and data processing level;
\n
\n\n
\n\n
\n
Awareness raising and training of employees and others who process personal data;
\n
\n\n
\n\n
\n
Monitoring compliance with the data protection program and verification of its effectiveness through regular self-assessments and internal or external audits; and
\n
\n\n
\n\n
\n
Processes to adequately respond to data subjects' rights, complaints and inquiries, as well as privacy incidents and to enforce compliance with internal rules.
\n
\n\n
\n\n
Organizations subject to the GDPR and other stringent data protection acts must establish a comprehensive data protection management program including all the elements as listed above to ensure compliance with the applicable requirements and responsible data use. With the implementation of such a privacy management program organization are ready to consider applying for BCR approval in order to benefit from a valid data transfer mechanism while increasing their commitment to privacy within the company and promoting a culture of responsible data use.
\n\n
\n\n
To obtain approval of the BCR and ensure compliance with the commitments that are made with the application, the data privacy management program must, however, include specific procedures and processes. The organization must assign responsibilities for the implementation of the BCR to each BCR member, in particular for binding the company and its employees to the BCR and for publishing notices. It must further establish a complaint handling process, develop awareness-raising and training plans and have a mechanism to implement these plans, such as the introduction of regular e-learning for all employees and tailor-made training for specific functions and persons with data protection responsibilities. The organization must also establish an audit framework and a program to ensure that internal or external accredited auditors regularly verify compliance with the BCR. A mechanism must also be put in place to track all changes and inform BCR members and the supervisory authority. A list of BCR members must be maintained and made available to all members who are required to inspect that list before transferring personal data across borders.
\n\n
\n\n
BCR are ultimately a formalization and publication of the data protection management program. At the same time, they are a mechanism for demonstrating accountability to regulators, business partners, customers and individuals and integrating data protection and security into the company's culture. Processors also gain an immediate competitive advantage compared to other service providers that do not have BCR. The benefits of BCR are apparent and should be considered by any multinational company with cross-border data flows.
\n\n
\n\n
7 Conclusions
\n\n
\n\n
BCR are not only a sustainable legal basis for data transfer but also a system that enables companies with approved BCR to be transparent to regulators, customers, consumers and business partners by disclosing the company's policies and procedures on how they process and secure personal data. At the same time, BCR help organizations demonstrate that they take data protection seriously and that they have adopted appropriate data management practices to ensure compliant and responsible data processing throughout the Group. By implementing BCR, organizations affirm their responsibility to comply with legal requirements and regularly go even beyond by implementing common standards and rights for individuals across the Group. BCR help to further improve the quality and maturity of the Group's privacy management program by fostering a culture of internal compliance and accountability and strengthening the overall trust of individuals, customers, business partners and regulators.
\n\n
\n\n
Implementing BCR brings a whole range of benefits not only for the Group itself but also for the data subjects and the supervisory authorities. The effort involved in the approval and implementation process pays off in any case, measured by the advantages for multinational companies, large or small, which stand for the legally compliant and responsible handling of personal data. At the same time, and as further motivation for companies to invest in BCR, it would be desirable for supervisory authorities to formally recognize BCR as an accountability system beyond a data transfer mechanism, along with certifications and codes of conduct, and to find ways to further speed up the approval process.
\n\n
\n","datum":"30.06.2019","teasertext":"
Welche praktische Bedeutung haben Binding Corporate Rules (BCR) für Unternehmen, und weshalb lohnt es sich, in BCR zu investieren? Dieser Artikel erklärt, was BCR unter der DSVGO sind, welche Vorteile sie bringen und worauf bei der Implementierung von BCR geachtet werden muss. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":157,"title":"Umsetzung von Privacy by Design in der Praxis (auf Englisch)","slug":"umsetzung-von-privacy-by-design-in-der-praxis-auf-englisch","link":"/de/news/umsetzung-von-privacy-by-design-in-der-praxis-auf-englisch","titel":"Umsetzung von Privacy by Design in der Praxis (auf Englisch)","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
Implementing privacy by design in practice
\n\n
\n\n
1 Introduction
\n\n
\n\n
Data protection has become increasingly important in recent years. Not only have the EU and many countries around the world revised their data protection laws and introduced stricter rules to protect the rights of data subjects and significant sanctions for non-compliance with the law. The awareness and expectations of individuals, such as consumers, patients, employees, service providers and business partners, as well as public authorities, have also increased significantly. While until a few years ago data protection was hardly on the priority list of many companies and hardly any resources were spent on implementing the legal requirements, most companies have realized since the introduction of the EU General Data Protection Regulation (GDPR) that data protection is a serious issue.
\n\n
\n\n
The reason for the increased sensitivity to data protection is not only the threat of sanctions and the loss of reputation in the event of a breach of data protection regulations. Companies have understood that they can only take full advantage of new technologies such as Blockchain, Machine Learning, Artificial Intelligence, Internet of Things and Mobile Apps if they meet individuals' expectations, maintain their trust and respect their privacy. Today, data protection is no longer seen as just a compliance or information security issue, but as an essential factor in building and maintaining trust, competitiveness and success in the marketplace.
\n\n
\n\n
Organizations must know and foresee their risks and take appropriate measures to eliminate them, reduce them to an acceptable level or manage them. To this end, organizations must, first of all, know what personal data they store and process, in which business areas, in which systems and for what purposes. This knowledge is the fundamental prerequisite for active risk and data protection management.
\n\n
\n\n
Before processing personal data, companies must take into account the data protection aspects and principles as well as possible restrictions and risks in advance and take appropriate risk-minimizing measures. Such an assessment is necessary, for example, before the introduction of a new data-processing system or a health app or before the storage of particularly sensitive data in a cloud, the introduction of a monitoring system in the company or the outsourcing of data processing to a service provider in a country outside the EEA or Switzerland. With this approach, the company can not only ensure compliance with legal requirements, but also make strategic and operational decisions in advance and efficiently implement business processes. This can include, for example, storing data on servers in Switzerland instead of in the USA or purchasing software with integrated data protection principles. The company can also take the necessary steps to ensure that its privacy policies and applicable laws are implemented.
\n\n
\n\n
This procedure is nothing more than “privacy by design.”
\n\n
\n\n
2 Privacy by design: a new obligation for controllers
\n\n
\n\n
The EU General Data Protection Regulation (GDPR) has introduced a legal obligation for controllers referred to as “data protection by design and by default.” This principle requires the controller to implement appropriate technical and organizational measures designed to implement data protection principles into the processing of personal data in an effective manner. Failures to comply with this obligation are subject to significant fines following Art. 83 GDPR.
\n\n
\n\n
Further laws have introduced the concept of privacy by design, such as the Draft Swiss Federal Act on Data Protection, published on September 15, 2017 (D-FADP)1 or the new Indian Personal Data Protection Bill which was published in 2018.2 The concept has further been introduced, although not explicitly, in the new Brazilian General Data Protection Law (Lei Geral de Proteção de Dados, LGPD) which will come into effect in early 2020.3
\n\n
\n\n
The concept of privacy by design is a fundamental requirement for the effective implementation of data protection. Privacy by design essentially requires controllers to take into account the privacy principles and requirements both, at the design stage of any IT system and technology, business practice, service or product and throughout the whole life cycle of the personal data, and to embed appropriate technical and organizational measures to implement the data protection requirements and to protect the rights of data subjects.
\n\n
\n\n
Although implementing data protection by design has become a new obligation under the GDPR, the concept is not new. It had existed for a long time as best practice and served as a practical approach to those organizations that had implemented data protection principles before the GDPR was even drafted.
\n\n
\n\n
The concept was already indirectly considered in EU Directive 95/464 and then introduced in 2009 as “Privacy by Design” by Ann Cavoukian, at that time the Information and Privacy Commissioner of Ontario, Canada, building on seven basic principles5:
\n\n
\n\n
Be Proactive, not Reactive; Preventative not Remedial: Being proactive and preventative anticipates and prevents privacy invasive events before they happen and privacy risks before they materialize.
\n\n
\n\n
Privacy as the Default: Privacy, in particular, transparency, data minimization, purpose limitation, confidentiality and data retention, is built into filing systems and business processes by default, automatically protecting personal data without the need for the data subjects to become active.
\n\n
\n\n
Privacy Embedded into Design: Privacy is embedded into the design and architecture of IT systems and business practices in a holistic and integrative way becoming an essential component of the core functionality being delivered. This means that privacy is integral to the system, without diminishing its functionality.
\n\n
\n\n
Full Functionality – Positive-Sum, not Zero-Sum: All legitimate interests and objectives, and not only the privacy goals, shall be accommodated without unnecessary trade-offs. Creative solutions shall be found that enable multifunctionality.
\n\n
\n\n
End-to-End Security – Lifecycle Protection: Personal data shall be secured, depending on their level of sensibility, from the collection throughout the entire lifecycle, by strong technical and organizational measures such as appropriate encryption, strong access controls and logging methods.
\n\n
\n\n
Visibility and Transparency: Visibility and transparency about the processing operations are essential to establishing accountability and trust.
\n\n
\n\n
Respect for User Privacy: The privacy of individuals should remain at the center of the interest and individuals should be offered measures such as strong privacy defaults, appropriate notice, and empowering user-friendly options.
\n\n
\n\n
Privacy by design was finally recognized by the 32nd International Conference of Data Protection and Privacy Commissioners in 2010 as “an essential component of fundamental privacy provisions6” and can also be found in various other documents, such as the FDPICs guide to technical and organizational measures for data protection of 2015.7 A similar concept, “Security by Design” follows the same approach and can be found in standards such as ISO/IEC/27001.
\n\n
\n\n
By introducing the concept of privacy by design as a legal obligation, the legislator ultimately wants to make it clear that it is not enough to set standards, but that these standards must be implemented effectively and verifiably. The principle applies to the entire processing of personal data, whether in the development and implementation of new business processes, systems, services or products that process personal data in any way.
\n\n
\n\n
3 How to implement privacy by design in practice?
\n\n
\n\n
3.1 What does Article 25 GDPR say?
\n\n
\n\n
Article 25 GDPR describes the concept of privacy by design and covers the following questions:
\n\n
\n\n
\n
Who is obliged to implement privacy by design? The controller. Manufacturers of products and applications as well as service providers are only encouraged to consider privacy by design in recital 78 GDPR. In practice, however, manufacturers and service providers will have a keen interest in implementing the concept to remain competitive.
\n
\n\n
\n\n
\n
What needs to be done? The controller must implement technical and organizational measures, so-called TOMs, such as the pseudonymization of personal data.
\n
\n\n
\n\n
\n
How must the TOMs be? They must be adequate8 and appropriate to implement data protection principles such as data minimization effectively and to integrate the necessary safeguards into the processing to meet the requirements of the GDPR and to protect the rights of data subjects.
\n
\n\n
\n\n
\n
When must TOMs be implemented? Both at the time of determining the means for processing and during the processing itself.
\n
\n\n
\n\n
Article 25 GDPR does, however, not specify how this obligation is to be implemented in practice.
\n\n
\n\n
The mention of pseudonymization in Art. 25 GDPR can only be understood as an example of a technical measure. Further technical measures, such as access authorizations and restrictions, user authentication, access restrictions, encryption, logging, secure system configurations, protective measures against malware and data loss, physical protective measures, as well as a technical implementation of the right of objection and the correction or deletion of data or data portability must also be considered. Article 32 GDPR (and in Switzerland Art. 7 FADP) must be observed.
\n\n
\n\n
Furthermore, organizational measures must also be taken. These include, for example, policies, guidelines, instructions and manuals, records of processing activities, documentation of data breaches and data protection impact assessments, contracts with third parties and processors, training and controls, meaning all the elements that are necessary for a well-functioning data protection management system.
\n\n
\n\n
The technical and organizational measures must be suitable for implementing the data protection principles and safeguarding the rights of the data subjects, whereby data minimization is again only mentioned as one example. Of course, all other principles, such as lawfulness, transparency, confidentiality, purpose limitation, data integrity, storage duration and security, as well as the requirements concerning commissioned data processing and cross-border data transfers must also be taken into account.
\n\n
\n\n
3.2 How can Article 25 GDPR be implemented in practice?
\n\n
\n\n
One effective way to implement privacy by design in practice is to build a data management and risk assessment program with responsibilities and a process to identify systematically, evaluate, address and mitigate potential privacy and security risks associated with the collection and processing of personal data. The seven best practices principles described in Chapter 2 can serve as guidance for the implementation of data protection by design in the company. An effective data management and risk assessment program should include the following elements:
\n\n
\n\n
3.2.1 Data Protection Management System (Fig.1)
\n\n
\n\n
\n
A documented commitment by management to establish and enforce high standards of data protection for the company with the aim of integrating data protection into the corporate culture and embedding the data protection principles in the design and implementation of corporate policies, data protection management systems, business practices, services and products.
\n
\n\n
\n\n
\n
The appointment of a data protection advisor and allocation of responsibilities at all levels of the organization, including management, business units and functions, for the effective implementation of data protection requirements.
\n
\n\n
\n\n
\n
The establishment of a data protection framework with enforceable data protection policies and guidelines that attach appropriate importance to data protection and regulate the collection, processing, transfer, storage and deletion of data, as well as mechanisms to monitor implementation and compliance with standards and rules.
\n
\n\n
\n\n
\n
The application of appropriate processes to ensure that data protection principles and requirements are adequately taken into account and integrated into data processing procedures and thus the principle of privacy by design is lived.
\n
\n\n
\n\n
\n
The introduction of records of processing activities.
\n
\n\n
\n\n
\n
Risk management with compliance checks and, where appropriate, data protection impact assessment.
\n
\n\n
\n\n
\n
Third-party management and data transfer governance.
\n
\n\n
\n\n
\n
Regular and documented awareness campaigns and performance of employee training.
\n
\n\n
\n\n
\n
Regular and documented monitoring and controls through self-assessments and audits to verify the effective implementation of the data protection management program and compliance with legal requirements and internal policies and directives.
\n
\n\n
\n\n
3.2.2 Processes
\n\n
\n\n
The processes, as mentioned above, include the following elements:
\n\n
\n\n
\n
The allocation of responsibilities in the relevant functions, such as Procurement, Legal and IT, which, as “gatekeepers,” ensure that the processes are adhered to.
\n
\n\n
\n\n
\n
The identification of privacy risks relating to systems, websites, apps, business processes or products at the time of the design and throughout the lifecycle of the data, from collection to disposal.
\n
\n\n
\n\n
\n
The documentation of the data processing activities (inventory).
\n
\n\n
\n\n
\n
The performance of compliance and risk assessments and, where appropriate, DPIAs before personal data is collected and stored in systems, transferred or otherwise processed for business purposes of anticipating risks and adverse effects for the individuals concerned and to determine corrective actions.
\n
\n\n
\n\n
\n
The implementation of the identified measures.
\n
\n\n
\n\n
3.2.3 Risk Management
\n\n
\n\n
The conformity and risk assessment of data processing procedures is essential in the privacy by design process and answers questions such as:
\n\n
\n\n
\n
Is the purpose of the processing specifically described? How is it ensured that the data is not processed for other purposes?
\n
\n\n
\n\n
\n
What is the legal basis for the processing of personal data? Is the consent of the data subjects required and, if so, how should it be obtained and documented? How can a withdrawal of consent be asserted and how is it handled and documented? If the controller has a legitimate business interest, were the interests of the controller weighed against the interests of the data subjects? Has this balancing test of interests been documented?
\n
\n\n
\n\n
\n
Are all intended personal data necessary to fulfill the purpose or can specific data sets be omitted if necessary? Can the purpose also be accomplished with anonymous, pseudonymous or simply less data?
\n
\n\n
\n\n
\n
Are the systems, websites, apps, business processes and products which store or process personal data, and which are developed or purchased by the company set up in such a way that only the necessary data for the purpose in question is stored and processed? How is the accuracy of the data ensured?
\n
\n\n
\n\n
\n
Who should have access to which personal data and for what purposes? Is the group of people who should have access to the data defined and documented? Are these persons obliged to maintain confidentiality? How is access controlled and restricted?
\n
\n\n
\n\n
\n
Have processors, if any, been audited to ensure that they can comply with data protection requirements?
\n
\n\n
\n\n
\n
Are data processing agreements and other arrangements in place, where necessary, to govern the relationship with third parties?
\n
\n\n
\n\n
\n
Is personal data accessed from abroad or transferred abroad? If so, have suitable legal measures been taken and documented to legitimize the data transfer? How are the measures implemented and compliance monitored?
\n
\n\n
\n\n
\n
Are all necessary security measures planned and, if necessary, already implemented?
\n
\n\n
\n\n
\n
What rights do the data subjects have? Are there any restrictions? How is it ensured that data subjects could exercise their rights effectively? Who is responsible for responding to data subjects requests? How are rights such as data portability, deletion or revocation of consent guaranteed?
\n
\n\n
\n\n
\n
How long should personal data be stored and processed? Is there a retention and deletion concept?
\n
\n\n
\n\n
\n
Are the data subjects informed about the processing of their personal data or is notice planned and how is it to be carried out? Is the data protection notice easily understandable and accessible?
\n
\n\n
\n\n
\n
What technical and organizational measures are expected to secure the data and how are these measures to be implemented, verified and controlled?
\n
\n\n
\n\n
\n
What security measures are taken to avoid security incidents? What is the process in the event of a security incident?
\n
\n\n
\n\n
4 Conclusion
\n\n
\n\n
Consistent and sustainable compliance with data protection requires the strategic and conceptual integration of data protection principles in all business practices, in the organizational structure, in the development of rules, IT systems and products. It requires active cooperation between Business, Information Security / IT and Legal / Data Protection.
\n\n
\n\n
The concept privacy by design is not new and has been considered as best practice for years. New is the inclusion of the concept in the GDPR as a legal obligation for controllers, subject to sanctions if violated.
\n\n
\n\n
Privacy by design is, however, not only a legal obligation but also a fundamental prerequisite for the effective and sustainable implementation of data protection and the basis for a well-functioning data protection management.
\n\n
\n\n
\n\n
[1]Art. 6.1, 2 D-FADP: Data Protection by Design: The controller must set up technical and organizational measures in order for the data processing to meet the data protection regulations and in particular the principles set out in Art. 5 (general principles of lawfulness, proportionality, purpose limitation, data minimization, transparency, retention, and quality). It considers this obligation from the planning of the processing.
\n\n
The technical and organizational measures must be appropriate in particular with regard to the state of the art, the type and extent of processing, as well as the risks that the processing at hand poses to the personality and the fundamental rights of the data subjects.
\n\n
Art. 6.3 D-FADP: Data Protection by Default: The controller is additionally bound to ensure through appropriate predefined settings that the processing of the personal data is limited to the minimum required by the purpose, unless the data subject directs otherwise.
[4]Recital 46 Directive 95/46: Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected.
\n\n
\n\n
[5] Privacy by Design: The 7 Foundational Principles, Implementation and Mapping of Fair Information Practices, from Ann Cavoukian, Ph.D.
\n\n
\n\n
[6] Resolution on privacy by design: https://icdppc.org/document-archive/adopted-resolutions/
[8] Article 25.1 GDPR: “Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing.”
\n","datum":"25.03.2019","teasertext":"
Die EU-Datenschutz-Grundverordnung (DSGVO) führte das Konzept von «Privacy by Design und by Default» oder «Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen» als gesetzliche Verpflichtung für Verantwortliche ein. Gemäss diesem Konzept müssen Verantwortliche geeignete technische und organisatorische Massnahmen treffen, um die Datenschutzgrundsätze in die Verarbeitung personenbezogener Daten effektiv einzubinden. Dieser Artikel erläutert, wie Privacy by Design in der Praxis umgesetzt werden kann. Bitte beachten Sie, dass der Artikel nur auf Englisch verfügbar ist.
\n","preview":"","datei":[],"linkextern":""},{"id":158,"title":"Das Konzept des Verantwortlichen und des Auftragsverarbeiters in der Praxis","slug":"das-konzept-des-verantwortlichen-und-des-auftragsverarbeiters-in-der-praxis","link":"/de/news/das-konzept-des-verantwortlichen-und-des-auftragsverarbeiters-in-der-praxis","titel":"Das Konzept des Verantwortlichen und des Auftragsverarbeiters in der Praxis","text":"
Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.
\n\n
\n\n
1 Einleitung
\n\n
\n\n
Sind mehrere Personen an der Verarbeitung personenbezogener Daten beteiligt, stellt sich unweigerlich die Frage nach ihrer datenschutzbezogenen Rolle. Mit der Einführung der DS-GVO und den Bestimmungen über das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern in Artikel 28 und gemeinsam für die Verarbeitung Verantwortlichen in Artikel 26 bleiben die Schwierigkeiten bei der Bestimmung der richtigen Rolle der Parteien bestehen. Unternehmen stehen zunehmend vor der Herausforderung, ihre Rolle(n) zu bestimmen, insbesondere in komplexen Situationen und Geschäftsmodellen, in denen mehrere Parteien in verschiedenen Rechtsordnungen an der Verarbeitungstätigkeit beteiligt sind, jede mit unterschiedlichem Grad an Autonomie, Kontrolle und Verantwortung.
\n\n
\n\n
Die Unterscheidung zwischen den verschiedenen Rollen ist entscheidend für die Zuweisung von Verantwortlichkeiten und insbesondere für die Bestimmung, welche Partei primär für die Einhaltung der Datenschutzgrundsätze, der Datenschutzrechte der betroffenen Personen und der Meldepflichten zuständig ist. Die Unterscheidung ist ferner wesentlich für die Bestimmung des anwendbaren Rechts im grenzüberschreitenden Kontext, der vertraglichen Vereinbarungen und der Aufteilung der Haftung für Schäden, die sich aus der unrechtmässigen Verarbeitung ergeben.
\n\n
\n\n
Nach der DS-GVO ist jede Person, die personenbezogene Daten verarbeitet, aus datenschutzrechtlicher Sicht entweder Verantwortlicher oder Auftragsverarbeiter. Sind mehrere Verantwortliche an der Verarbeitung personenbezogener Daten beteiligt, so sind sie je nach konkreter Situation entweder gemeinsam Verantwortliche oder unabhängige Verantwortliche. Die DS-GVO definiert in Artikel 4 die Begriffe “Verantwortlicher”, “Auftragsverarbeiter” und “Verarbeitung,” und in Artikel 26 das Konzept der “gemeinsam Verantwortlichen”:
\n\n
\n\n
Der “Verantwortliche” (auf Englisch «Controller») ist die natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.
\n\n
\n\n
“Gemeinsam Verantwortliche” (auf Englisch «Joint Controllers») sind Verantwortliche, die gemeinsam festlegen, welche Daten zu welchem Zweck und mit welchen Mitteln verarbeitet werden.
\n\n
\n\n
Der “Auftragsverarbeiter” (auf Englisch «Processor») ist die natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.
\n\n
\n\n
Der Begriff “Verarbeitung” umfasst alle Vorgänge oder Reihen von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, unabhängig davon, ob sie automatisiert durchgeführt werden oder nicht, wie z.B. Erhebung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung oder Änderung, Abruf, Konsultation, Nutzung, Offenlegung durch Übermittlung, Verbreitung oder anderweitige Bereitstellung, Ausrichtung oder Kombination, Einschränkung, Löschung oder Zerstörung.
\n\n
\n\n
Der Begriff der unabhängigen Verantwortlichen ist in der DS-GVO nicht definiert. Der Begriff, wie er in diesem Artikel verwendet wird, bezeichnet Verantwortliche, die anders als gemeinsam Verantwortliche nicht gemeinsam die Zwecke und Mittel für die Verarbeitung personenbezogener Daten festlegen, sondern jeweils für sich, für eigene und unterschiedliche Zwecke.
\n\n
\n\n
Dieser Artikel legt die wesentlichen Faktoren für die Bestimmung der Rollen der Parteien dar und untersucht die Beziehung zwischen Auftraggebern und Dienstleistern und deren Folgen.1
\n\n
\n\n
2 Die wesentlichen Faktoren für die Bestimmung der Rolle(n) der Parteien
\n\n
\n\n
2.1 Die wesentlichen Faktoren
\n\n
\n\n
Die Hauptfaktoren für die Bestimmung, ob eine Partei ein Verantwortlicher, gemeinsam Verantwortlicher oder ein Auftragsverarbeiter ist, sind zum einen der Grad der Autonomie jeder Person bei der Bestimmung, für welche Zwecke, wie und in welcher Weise personenbezogene Daten verarbeitet werden und zum anderen der Grad der Kontrolle über den Inhalt personenbezogener Daten. Diese Feststellung ist immer faktisch und muss von Fall zu Fall unter Berücksichtigung jedes einzelnen Verarbeitungsvorgangs getroffen werden.
\n\n
\n\n
In einem ersten Schritt muss geprüft werden, ob und wenn ja, in welcher Weise das Unternehmen personenbezogene Daten “verarbeitet”. Während der Begriff “Verarbeitung” alles abdeckt, was mit personenbezogenen Daten geschieht, gibt es Situationen, in denen ein Unternehmen, das personenbezogene Daten besitzt, weder als Verantwortlicher noch als Auftragsverarbeiter gilt, weil es die Daten nicht im Sinne des Gesetzes verarbeitet. Das UK Information Commissioner’s Office (ICO) liefert ein Beispiel2, in welchem ein Kurierdienst von einem örtlichen Krankenhaus beauftragt wird, Umschläge mit Krankenakten von Patienten an andere Gesundheitseinrichtungen zu liefern. Während sich der Kurier im physischen Besitz der personenbezogenen Daten befindet, verarbeitet er die in den Briefen enthaltenen Daten nicht, da er diese nicht öffnen darf, um auf persönliche Daten oder andere Inhalte zuzugreifen. Die Verarbeitung personenbezogener Daten impliziert einen gewissen Zugang oder die Fähigkeit, die Verwendung der Daten selbst zu kontrollieren. Der physische Besitz der Briefe mit personenbezogenen Daten ist nicht ausreichend. Das Unternehmen, das sich für die Nutzung der Zustelldienste zur Übermittlung personenbezogener Daten entscheidet, ist in diesem Szenario der für die Verarbeitung Verantwortliche und ist dafür verantwortlich, die Anforderungen der DS-GVO zu erfüllen und insbesondere diese Dienste so zu organisieren, dass die personenbezogenen Daten angemessen geschützt sind und gegebenenfalls eine Geheimhaltungspflicht besteht. Entscheidend ist in diesem Fall, dass der Dienstleister keinen Plan, keine Absicht und kein Interesse an der Verarbeitung der personenbezogenen Daten hat.
\n\n
\n\n
Der Postzustelldienst ist jedoch ein Verantwortlicher in Bezug auf personenbezogene Daten wie z.B. die Namen und Adressen der einzelnen Absender und Empfänger, die er zur Organisation der Zustellung oder Nachverfolgung besitzt.
\n\n
\n\n
2.2 Verantwortlicher
\n\n
\n\n
Ein Unternehmen ist ein Verantwortlicher, wenn es durch seine Führungskräfte und Mitarbeiter entscheidet, warum und wie personenbezogene Daten verarbeitet werden sollen, und daher die allgemeinen Zwecke und Mittel der Datenverarbeitung kontrolliert. In der Regel gilt die juristische Person als Verantwortlicher und nicht die einzelne Person, die im Namen der juristischen Person handelt.3 Die Fähigkeit zur Bestimmung des Zwecks und der Art der Verarbeitung kann sich aus rechtlichen Umständen, wie beispielsweise einer rechtlichen Verpflichtung, oder aus faktischen Umständen ergeben.
\n\n
\n\n
Der Verantwortliche verarbeitet (oder beauftragt eine andere Person mit der Verarbeitung) personenbezogene Daten für seine eigenen Zwecke und bestimmt in der Regel:
\n\n
\n\n
\n
die Initiierung einer Verarbeitungstätigkeit;
\n
\n\n
\n
welche personenbezogenen Daten erhoben werden sollen, von wem, aus welchen Quellen und für welche Zwecke;
\n
\n\n
\n
wie die Daten verarbeitet werden sollen;
\n
\n\n
\n
ob personenbezogene Daten an Dritte weitergegeben werden sollen und an wen;
\n
\n\n
\n
ob ein oder mehrere Auftragsverarbeiter mit der Verarbeitung der Daten beauftragt werden sollen;
\n
\n\n
\n
ob die Daten geändert, anonymisiert oder gelöscht werden sollen; und
\n
\n\n
\n
wie lange die Daten gespeichert werden.
\n
\n\n
\n\n
Der Verantwortliche interagiert in der Regel direkt mit den betroffenen Personen, die davon ausgehen, dass das Unternehmen der Verantwortliche ist. Eine direkte Interaktion ist jedoch keine Voraussetzung und ist auch nicht immer gegeben, wie beispielsweise in einem Kontext klinischer Studien, in dem das Pharmaunternehmen als Sponsor der Studie im Allgemeinen die Identität der Studienteilnehmer nicht kennt. Der für die Verarbeitung Verantwortliche muss die Kontrolle über die Daten behalten, muss aber nicht unbedingt Zugang zu den personenbezogenen Daten haben oder diese verarbeiten können.4
\n\n
\n\n
Ein Unternehmen, das personenbezogene Daten aufgrund einer gesetzlichen Verpflichtung verarbeitet, gilt allgemein als Verantwortlicher und behält die Gesamtverantwortung für die jeweilige Verarbeitungstätigkeit. Dies kann beispielsweise eine Steuerbehörde oder ein Sozialversicherungsamt sein, oder ein Spezialist, der personenbezogene Daten gemäss seinen eigenen beruflichen Verpflichtungen verarbeitet, wie z.B. ein Rechtsanwalt oder ein Wirtschaftsprüfer. Erbringt jedoch beispielswiese ein Buchhalter weitere Dienstleistungen, die eine Verarbeitung personenbezogener Daten beinhalten, wie beispielsweise Lohn- und Gehaltsabrechnungsdienstleistungen, wird er zu einem Auftragsverarbeiter.
\n\n
\n\n
2.3 Gemeinsam Verantwortliche
\n\n
\n\n
Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Datenverarbeitung nach den oben genannten Kriterien festlegen, sind sie gemeinsam Verantwortliche. Der Wunsch der Parteien, gemeinsam verantwortlich zu sein, reicht jedoch nicht aus, um gemeinsame Verantwortlichkeit nach der DS-GVO anzunehmen. Die Sachverhalte und das Verhalten bei der Festlegung der Zwecke und Mittel sind entscheidend. Der Europäische Gerichtshof hat in seiner Entscheidung vom Juni 2018 (Wirtschaftsakademie) zusätzliche Klarheit geschaffen, indem er entschied, dass der Betreiber einer Facebook-Fanpage ein mit Facebook gemeinsam Verantwortlicher für die Verarbeitung personenbezogener Daten ist.5 In einer weiteren Entscheidung vom Juli 2018 (Jehovan) stellte der Europäische Gerichtshof weiter klar, dass eine Person oder Einrichtung, die für ihre eigenen Zwecke Einfluss auf die Verarbeitung personenbezogener Daten nimmt und sich dadurch an der Festlegung der Zwecke und Mittel dieser Verarbeitung beteiligt, als Verantwortlicher angesehen werden kann.6 Trotz dieser Entscheidungen besteht weiterhin die Unsicherheit, welches Mass an Mitbestimmung notwendig ist, um von einer gemeinsamen Verantwortlichkeit auszugehen, Diese muss von Fall zu Fall geprüft werden.
\n\n
\n\n
2.4 Auftragsverarbeiter
\n\n
\n\n
Ein Dienstleister ist ein Auftragsverarbeiter im Sinne der DS-GVO, wenn er (a) personenbezogene Daten (b) im Auftrag des Verantwortlichen und (c) auf Weisung des Verantwortlichen verarbeitet. Diese Voraussetzungen müssen erfüllt sein, damit der Dienstleister als Auftragsverarbeiter gilt. Andernfalls, und insbesondere, wenn der Dienstleister über eine gewisse Autonomie bei der Entscheidungsfindung oder der Kontrolle des Inhalts der Daten verfügt, ist er ein Verantwortlicher, gegebenenfalls ein gemeinsam Verantwortlicher. Dies bedeutet jedoch nicht, dass der Auftragsverarbeiter keine Entscheidungen treffen darf. Der Verantwortliche kann einige Entscheidungen im Zusammenhang mit den technischen und organisatorischen Fragen an den Auftragsverarbeiter delegieren, z.B. welche Hard- oder Software er verwenden soll, während er die wesentliche Fragen wie die Art der zu verarbeitenden personenbezogenen Daten, die Aufbewahrungsfrist oder die Zugriffsrechte bestimmt.7 Es stellt sich die Frage, inwieweit der Auftragsverarbeiter über die Art der Verarbeitung entscheiden kann, ohne selbst zum Verantwortlichen zu werden. Die DS-GVO stellt in Artikel 28 Absatz 10 fest, dass ein Auftragsverarbeiter zum Verantwortlichen wird, sobald er die Zwecke und Mittel der Verarbeitung bestimmt. In der Praxis bedeutet dies, dass der Auftragsverarbeiter, sobald er über die Anweisungen des Verantwortlichen hinausgeht, zu einem Verantwortlichen wird. Dies ist der Fall, wenn ein Dienstleister die Daten für eigene Zwecke verwendet, z.B. zur Durchführung von Analysen und zur Verbesserung seiner eigenen Dienste.
\n\n
\n\n
Bei der Feststellung, ob es sich bei einem Dienstleister um einen Auftragsverarbeiter oder einen Verantwortlichen bzw. gemeinsam Verantwortlichen handelt, sollte Folgendes berücksichtigt werden:
\n\n
\n\n
\n
der Handlungsspielraum, der dem Auftragsverarbeiter überlassen wird. Je detaillierter die Anweisungen sind, desto kleiner ist der Handlungsspielraum für den Dienstleister;
\n
der Grad der Kontrolle, den der Verantwortliche ausüben möchte;
\n
die Erwartungen der betroffenen Personen, wer der Verantwortliche ist. Dies hängt von den Informationen ab, die die betroffenen Personen vom Verantwortlichen erhalten.8
\n
\n\n
\n\n
Typischerweise
\n\n
\n\n
\n
verarbeitet ein Auftragsverarbeiter die Daten auf der Grundlage eines Mandats des Kunden;
\n
hat ein Auftragsverarbeiter keine Kontrolle über die Daten und entscheidet nicht, welche Daten zu erheben und wie sie zu verwenden sind;
\n
hat ein Auftragsverarbeiter kein eigenes geschäftliches Interesse an der Verarbeitung der Daten;
\n
ist es dem Auftragsverarbeiter vertraglich oder gesetzlich untersagt, die Daten für eigene Zwecke zu verwenden;
\n
bietet der Auftragsverarbeiter dem Kunden technische und operative Unterstützung;
\n
hat der Auftragsverarbeiter kein vertragliches Verhältnis mit den betroffenen Personen über die Verarbeitungstätigkeit;
\n
wird der Auftragsverarbeiter von den betroffenen Personen nicht als der Verantwortliche betrachtet.
\n
\n\n
\n\n
Je nach den spezifischen Umständen, dem Grad der Anweisungen und der Kontrolle durch den Kunden, kann der Dienstleister ein Auftragsverarbeiter, ein gemeinsam oder unabhängiger Verantwortlicher sein.9
\n\n
\n\n
3 Die Konsequenzen für jede Rolle
\n\n
\n\n
3.1 Das Unternehmen ist Verantwortlicher
\n\n
\n\n
Wenn ein Unternehmen als Verantwortlicher qualifiziert ist, ist es für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss insbesondere über eine Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten verfügen und die DS-GVO-Anforderungen erfüllen, wie beispielsweise die Benachrichtigung der betroffenen Personen und die Gewährung von Auskunftsrechten. Das Unternehmen hat die Freiheit, einen oder mehrere Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten zu beauftragen, vorbehaltlich spezifischer Weisungen bezüglich der Zwecke und Verarbeitungsmethoden, während es die Kontrolle über die Daten behält und für diese verantwortlich ist. In diesem Fall muss das Unternehmen sicherstellen, dass mit den Auftragsverarbeitern ein Auftragsverarbeitungsvertrag gemäss Artikel 28 DS-GVO abgeschlossen wird.
\n\n
\n\n
Ein Verantwortlicher kann auch personenbezogene Daten an einen anderen Verantwortlichen weitergeben, ohne ein gemeinsam Verantwortlicher zu sein. Wenn beispielsweise ein Adressbroker personenbezogene Daten an ein Unternehmen verkauft, welches diese Daten für Kundenbeziehungen und Marketingzwecke verarbeitet, gelten beide Unternehmen als unabhängige Verantwortliche, da sie ihre Zwecke und Verarbeitungsmethoden getrennt voneinander festlegen. Die DS-GVO schreibt in diesem Fall keinen besonderen Vertrag vor, es sei denn, die Weitergabe personenbezogener Daten erfolgt grenzüberschreitend aus dem EWR in ein Land, das kein angemessenes Datenschutzniveau bietet; in diesem Fall müssen angemessene Garantien wie EU-Standarddatenschutzklauseln vorgesehen werden. Da jedoch jede Partei für die Einhaltung der DS-GVO und insbesondere des Grundsatzes der Zweckbindung verantwortlich und haftbar ist, wird empfohlen, eine Vereinbarung über den Datenaustausch abzuschliessen, in der die wichtigsten Verpflichtungen der Parteien festgelegt sind.
\n\n
\n\n
3.2 Das Unternehmen ist ein gemeinsam Verantwortlicher
\n\n
\n\n
Handelt es sich bei dem Unternehmen um einen gemeinsam Verantwortlichen, so muss es zusammen mit den anderen Verantwortlichen eine Vereinbarung (z.B. ein Joint Controller Agreement) treffen, in der seine jeweiligen Verantwortlichkeiten bei der Einhaltung der DS-GVO festgelegt sind. Während die Verantwortlichen den Zweck und die Mittel der Verarbeitung gemeinsam festlegen, müssen die Verantwortlichkeiten nicht gleichmässig auf die Parteien verteilt werden, aber in der Vereinbarung klar umschrieben werden. Diese Verpflichtungen betreffen insbesondere:
\n\n
\n\n
\n
die Gewährung von Auskunftsrechten der betroffenen Personen;
\n
die Durchführung von Datenschutz-Folgenabschätzungen;
\n
die Benachrichtigung bei Datenschutzverletzungen; unddie Information von Personen über die Verarbeitung ihrer Daten nach Artikel 13 und 14 DS-GVO.
\n
\n\n
\n\n
Darüber hinaus muss die Vereinbarung im Wesentlichen den betroffenen Personen zugänglich gemacht werden, die sich an jeden gemeinsam Verantwortlichen wenden können, um ihre Datenschutzrechte auszuüben.
\n\n
\n\n
3.3 Das Unternehmen ist ein Auftragsverarbeiter
\n\n
\n\n
Ist der Dienstleister ein Auftragsverarbeiter, so ist Folgendes zu beachten:
\n\n
\n\n
\n
Ein Unternehmen kann sowohl ein Verantwortlicher für bestimmte Verarbeitungstätigkeiten als auch ein Auftragsverarbeiter für andere Verarbeitungstätigkeiten sein.
\n
Nicht alle Dienstleister sind auch Auftragsverarbeiter (nur wenn diese personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. In diesem Fall muss ein Auftragsverarbeitungsvertrag geschlossen werden).
\n
Während es unerlässlich ist, dass der Verantwortliche den Zweck der Verarbeitung bestimmt, wird die Entscheidung über die technischen und organisatorischen Mittel zur Verarbeitung, wie z.B. Speicherung, Abruf oder Löschung, in der Praxis oft an den Dienstleister delegiert. Besondere Aufmerksamkeit ist von Fall zu Fall bei der Beurteilung erforderlich, ob der Dienstleister noch als Auftragsverarbeiter oder als gemeinsam Verantwortlicher gilt.
\n
\n\n
\n\n
4 Die vertraglichen Regelungen
\n\n
\n\n
4.1 Auftragsverarbeitungsvertrag
\n\n
\n\n
Der Auftragsverarbeitungsvertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter muss die folgenden Mindestanforderungen gemäss Artikel 28 DS-GVO enthalten:
\n\n
\n\n
\n
den Gegenstand und die Dauer der Verarbeitung;
\n
Art und Zweck der Verarbeitung;
\n
die Kategorien der personenbezogenen Daten und der betroffenen Personen;
\n
die Pflichten und Rechte des Verantwortlichen (Rechtsgrundlage für Verarbeitungs- und Auditrechte);
\n
die Verpflichtungen des Auftragsverarbeiters, einschliesslich (a) der Verarbeitung personenbezogener Daten nur auf dokumentierte Weisungen des Verantwortlichen, (b) der Gewährleistung, dass nur Personen, die sich zur Vertraulichkeit verpflichtet haben, zur Verarbeitung der Daten berechtigt sind, (c) der Ergreifung aller dem Risiko angemessenen technischen und organisatorischen Massnahmen (Artikel 32 DS-GVO), (d) der Pflicht, Unterauftragsverarbeiter nur mit der vorherigen spezifischen oder allgemeinen schriftlichen Genehmigung des Verantwortlichen zu beauftragen, den Verantwortlichen über neue Unterauftragsverarbeiter zu informieren und diesen Unterauftragsverarbeitern vertraglich dieselben Verpflichtungen aufzuerlegen, wobei der Auftragsverarbeiter dem Verantwortlichen gegenüber haftbar bleibt für das Versagen der Unterauftragsverarbeiter, (e) der Unterstützung des Verantwortlichen bei Anliegen und Auskunftsanfragen der betroffenen Personen, Benachrichtigung bei Datenschutzverletzungen und der Durchführung von Datenschutz-Folgeabschätzungen, (f) der Löschung oder Rückgabe der personenbezogenen Daten an den Verantwortlichen nach Beendigung der Erbringung von Dienstleistungen und nach Wahl des Verantwortlichen, (g) der Pflicht, alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen nach Artikel 28 DS-GVO nachzuweisen und zu Audits, einschliesslich Inspektionen, die vom Verantwortlichen oder einem anderen von ihm beauftragen Prüfer durchgeführt werden, beizutragen, (h) der Pflicht, den Verantwortlichen unverzüglich zu informieren, wenn nach Ansicht des Auftragsverarbeiters eine Anweisung gegen die DS-GVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstösst.
\n
\n\n
\n\n
Darüber hinaus werden Bestimmungen über die Klärung der Rollen der Parteien, grenzüberschreitende Datenübermittlung, Meldepflichten, die Aufteilung der Kosten für Unterstützung und Prüfungen sowie die Haftung empfohlen, obwohl diese Bestimmungen nach Artikel 28 DS-GVO nicht zwingend vorgeschrieben werden.
\n\n
\n\n
4.2 Joint Controller Arrangement
\n\n
\n\n
Gemäss Artikel 26 DS-GVO müssen gemeinsam Verantwortliche in einer Vereinbarung ihre jeweiligen Verantwortlichkeiten für die Einhaltung der Verpflichtungen aus der DS-GVO festlegen. Das Gesetz legt nicht im Detail fest, welche Elemente abgedeckt werden müssen; daher verfügen die Parteien im Gegensatz zum Auftragsverarbeitungsvertrag nach Artikel 28 DS-GVO über eine gewisse Flexibilität. Die Vereinbarung, sei es ein Vertrag oder eine bindende Policy, sollte die Zwecke und Mittel der Verarbeitung beschreiben und folgende Fragen abdecken:
\n\n
\n\n
\n
Wer informiert die betroffenen Personen nach Artikel 13 und 14 DS-GVO?
\n
Wer stellt den betroffenen Personen die wesentlichen Punkte der Vereinbarung zur Verfügung?
\n
Bei wem können die betroffenen Personen ihre Datenschutzrechte ausüben (Ansprechpartner)?
\n
Wer kümmert sich um Auskunftsanfragen und andere Rechte der betroffenen Personen?
\n
Wer bearbeitet Beschwerden und Anträge von Aufsichtsbehörden?
\n
Wer ernennt bei Bedarf einen Datenschutzbeauftragten?
\n
Wer bestimmt, dokumentiert und überwacht die technischen und organisatorischen Sicherheitsmassnahmen?
\n
Wer führt bei Bedarf eine Datenschutz-Folgenabschätzung durch?
\n
Wer beauftragt die Auftragsverarbeiter, falls vorhanden?
\n
Wer führt die Aufzeichnungen über die Verarbeitungstätigkeiten?
\n
Wer stellt fest, ob ein Verstoss gegen die Datenschutzbestimmungen den Aufsichtsbehörden und den betroffenen Personen gemeldet werden muss, und nimmt die entsprechenden Mitteilungen vor?
\n
\n\n
\n\n
4.3 Vereinbarung über den Datenaustausch
\n\n
\n\n
Die DS-GVO schweigt zu Vereinbarungen über den Datenaustausch zwischen unabhängigen Verantwortlichen. Eine Vereinbarung oder eine anderweitige Garantie sind derzeit nur dann vorgeschrieben, wenn die für die Verarbeitung Verantwortlichen personenbezogene Daten grenzüberschreitend in ein Land ohne angemessenes Datenschutzniveau weitergeben. In diesem Fall können die EU-Standarddatenschutzklauseln für Verantwortliche verwendet werden10. Auch wenn keine grenzüberschreitende Übermittlung personenbezogener Daten vorgenommen wird, ist es dennoch ratsam, unter Berücksichtigung der Art der Datenweitergabe und der Sensibilität der zu übermittelnden personenbezogenen Daten zumindest die Hauptverpflichtungen der Parteien darzulegen und insbesondere (a) die Pflicht des Empfängers, die übermittelten personenbezogenen Daten nur in Übereinstimmung mit den allgemeinen Datenschutzgrundsätzen und unter Einhaltung der bestimmten Zwecke zu verarbeiten, (b) die Frage, ob die Daten an Dritte weitergegeben werden können, und wenn ja, unter welchen Bedingungen, (c) die Verpflichtung zur gegenseitigen Unterstützung, falls erforderlich, (d) die Pflicht der Umsetzung von Sicherheitsmassnahmen sowie (e) die Entschädigung und Haftung.
\n\n
\n\n
5 Das Verfahren zur Bestimmung der Rollen und die entsprechende vertragliche Vereinbarung
\n\n
\n\n
Zusammenfassend sind die folgenden Schritte zu ergreifen, wenn mehrere Parteien an der Verarbeitung personenbezogener Daten beteiligt sind, insbesondere wenn ein oder mehrere Auftragsverarbeiter beauftragt sind:
\n\n
\n\n
\n
Beurteilung, welche Dienstleistungen der Dienstleister erbringen soll und ob diese Dienstleistungen die Verarbeitung personenbezogener Daten erfordern.
\n
Bewertung der Rolle(n) des Dienstleisters.
\n
Festlegung der geeigneten vertraglichen Vereinbarung(en), um die Verantwortlichkeiten der Parteien abzudecken.
\n
\n\n
\n\n
6 Fazit
\n\n
\n\n
Mit der Einführung der DS-GVO und den Bestimmungen über das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern in Artikel 28 und gemeinsam Verantwortlichen in Artikel 26 bleiben die Schwierigkeiten bei der Bestimmung der Rollen der Parteien bestehen. Die Bewertung ist besonders schwierig in komplexen Situationen und Geschäftsmodellen, in denen mehrere Parteien in verschiedenen Rechtsordnungen an der Verarbeitungstätigkeit beteiligt sind, jeweils mit unterschiedlichem Grad an Autonomie, Kontrolle und Verantwortung.
\n\n
\n\n
Die Hauptfaktoren für die Bestimmung, ob eine Partei ein Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter ist, sind zum einen der Grad der Autonomie jeder Partei bei der Bestimmung, für welche Zwecke, wie und in welcher Weise personenbezogene Daten verarbeitet werden, und zum anderen der Grad der Kontrolle über den Inhalt personenbezogener Daten. Die Rollenbestimmung ist immer sachlich und muss von Fall zu Fall erfolgen, wobei jeder Verarbeitungsvorgang zu berücksichtigen ist.
\n\n
\n\n
7 Referenzen
\n\n
\n\n
\n
Artikel-29-Datenschutzgruppe: Stellungnahme 1/2010 zu den Begriffen “für die Verarbeitung Verantwortlicher” und “Auftragsverarbeiter” (referenziert als WP 169)
\n
\n\n
\n
Information Commissioner’s Office (ICO): Data controllers and data processors: what the difference is and what the governance implications are (referenziert als ICO-Richtlinie)
\n
Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. (Bitkom): Begleitende Hinweise zu der Anlage Auftragsverarbeitung (referenziert als Leitfaden Bitkom)
\n
Urteil des EU Gerichtshofs in Wirtschaftsakademie, C-210/16, EU:C:2018:388 (referenziert als Urteil C-210/16Wirtschaftsakademie)
\n
Urteil des EU Gerichthofs in Jehovan todistajat C-25/17, EU:C:2018:551 (referenziert als Urteil C-25/17 Jehovan)
\n
Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK): Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO, Stand 17.12.2018 (referenziert als DSK Kurzpapier Nr. 13)
\n
Entscheidung der Kommission vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EC im Hinblick auf die Einführung eines alternativen Satzes von Standarddatenschutzklauseln für die Übermittlung personenbezogener Daten in Drittländer (2004/915/EC) (referenziert
\n
\n\n
\n\n
[1] Eine detaillierte Analyse des Konzepts und einige Bespiele finden sich unter anderem in (a) der WP 169, (b) der ICO-Richtlinie, (c) dem Leitfaden Bitkom und (d) dem DSK Kurzpapier Nr. 13
\n\n
[2] ICO-Leitlinie, wo zusätzliche Erläuterungen in den Anmerkungen 33-39 zu finden sind
[9] Beispiele finden sich in der WP 169, der ICO-Leitlinie und dem DSK Kurzpapier Nr. 13
\n\n
[10] EU-Standarddatenschutzklauseln für Verantwortliche
\n","datum":"15.03.2019","teasertext":"
Sind mehrere Personen an der Verarbeitung personenbezogener Daten beteiligt, stellt sich unweigerlich die Frage nach ihrer datenschutzbezogenen Rolle. Dieser Artikel legt die wesentlichen Faktoren für die Bestimmung der Rollen der Parteien dar und untersucht die Beziehung zwischen Auftraggebern und Dienstleistern und deren Folgen.
Am 4. Mai 2016 hat die Europäische Union die Endfassung der EU-Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Die DSGVO wird die EU-Datenschutz-Direktive ersetzen und nach einer zweijährigen Umsetzungsfrist ab dem 25. Mai 2018 in allen EU-Mitgliedsstaaten unmittelbar und direkt gelten. Unternehmen haben bis dahin Zeit, ihr Datenschutz-Management-System den neuen Anforderungen anzupassen.
\n\n
\n\n
Die DSGVO sieht strengere und neue Rechte für Datensubjekte vor, beispielsweise ein Recht auf Vergessen oder ein Recht auf Datenübertragbarkeit, sowie neue Verpflichtungen für verantwortliche Unternehmen (Controller) und Auftragsdatenverarbeiter (Processor).
\n\n
\n\n
Hier sind ein paar der wichtigsten Änderungen:
\n\n
\n\n
Der räumliche Anwendungsbereich hat sich insofern geändert, dass nun neben Controllers neu auch Processors in der EU der Verordnung unterstehen. Wichtig ist, dass neu auch Unternehmen, die NICHT in der EU niedergelassen sind, der Verordnung unterstehen, wenn diese betroffenen Personen in der EU Waren oder Dienstleistungen anbieten oder das (online) Verhalten betroffener Personen beobachten, soweit ihr Verhalten in der EU erfolgt.
\n\n
\n\n
Verantwortliche Unternehmen müssen die Einhaltung der Verordnung nachweisen können und haben somit neu eine Rechenschaftspflicht (accountability). Diese beinhaltet Pflichten, wie:
\n\n
\n\n
\n
Führung eines Verzeichnisses von Verarbeitungstätigkeiten
\n
Einführung einer Datenschutzpolitik und Richtlinien
\n
Bestellung eines Datenschutzverantwortlichen in bestimmten Fällen
\n
Umsetzung von technischen und organisatorischen Sicherheitsmassnahmen
\n
Umsetzung von „privacy by design“ und „privacy by default“
\n
Durchführung von Datenschutzfolgeabschätzungen
\n
\n\n
\n\n
Verantwortliche Unternehmen können die Einhaltung der Verordnung auf verschiedene Weise bewiesen, beispielsweise durch Unternehmensrichtlinien, sog. Binding Corporate Rules (BCR), Zertifizierungen oder Verhaltens-Kodizes.
\n\n
\n\n
Die Bedingungen für die Einwilligung sind strenger. Verantwortliche Unternehmen müssen nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Die Einwilligung muss freiwillig, spezifisch, eindeutig und aufgrund von genügend Informationen und für besonders schützenwerte Daten explizit erfolgen, sowie jederzeit widerrufbar sein. Erfolgt die Einwilligung durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgen und sich von den anderen Sachverhalten klar unterscheiden. Die Einwilligung ist nicht gültig, wenn ein klares Missverhältnis zwischen dem Datensubjekt und dem verantwortlichen Unternehmen besteht, was beispielsweise in einem Arbeitsverhältnis der Fall sein könnte. Schliesslich ist eine Einwilligung ungültig, wenn die Erfüllung eines Vertrages, einschliesslich die Erbringung einer Dienstleistung, von einer solchen Einwilligung abhängt, wenn für die Erfüllung des Vertrages die Verarbeitung der personenbezogenen Daten nicht erforderlich ist.
\n\n
\n\n
Auftragsdatenverarbeiter unterstehen ebenfalls der Verordnung und haben nun direkte gesetzliche Pflichten.
\n\n
\n\n
Im Falle einer Verletzung des Schutzes personenbezogener Daten, welche voraussichtlich zu einem Risiko für die betroffenen Personen führt, muss das verantwortliche Unternehmen die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, melden. Hat die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, dann muss das verantwortliche Unternehmen die betroffenen Personen unverzüglich von der Verletzung benachrichtigen.
\n\n
\n\n
Datensubjekte können ihre Ansprüche auf immateriellen Schadenersatz geltend machen, wobei das verantwortliche Unternehmen die Beweislast trägt. Bussgelder für Verletzungen, beispielsweise Nichtbeachtung der Rechte der betroffenen Personen oder die Übermittlung von personenbezogenen Daten an einen Empfänger in einem Drittland ohne adäquaten Datenschutz, können bis zu 20 Millionen Euro oder 4% des weltweit jährlichen Umsatzes betragen.
\n\n
\n\n
Was sollten Unternehmen jetzt tun?
\n\n
\n\n
Unternehmen, welche der DSGVO unterstehen, sollten jetzt damit beginnen, ihren Datenschutz den neuen Anforderungen anzupassen und insbesondere:
\n\n
\n\n
\n
Sich mit der DSGVO auseinandersetzen und ihre Verpflichtungen verstehen
\n
Eine Gefährdungsanalyse und einen Soll-Ist-Vergleich durchführen, um allfällige Lücken zwischen ihrem jetzigen Datenschutz-Management-System und den neuen Anforderungen zu identifizieren.
\n
Notwendige Massnahmen definieren und einen entsprechenden Zeit- und Umsetzungsplan erstellen
\n
Richtlinien und Meinungen von nationalen Datenschutzbehörden und der Artikel 29 Arbeitsgruppe (WP29), welche in den nächsten Monaten erlassen werden, beachten
\n
\n\n
\n\n
Was können wir für Sie tun?
\n\n
\n\n
Wir unterstützen Sie gerne bei der Erarbeitung der Grundlagen und eines vertieften Verständnisses der Anforderungen sowie bei der Durchführung von Gefährdungsanalysen, Soll-Ist Analysen, Entwicklung oder Anpassung von Datenschutz-Management-Systemen, Richtlinien und Prozessen, um eine optimale Basis zur Einhaltung der neuen DSGVO zu erschaffen und gleichzeitig Risiken zu minimieren.
\n\n
\n\n
Den finalen Text der DSGVO finden Sie in verschiedenen Sprachenhier.
\n\n
\n","datum":"04.05.2016","teasertext":"
Am 4. Mai 2016 hat die Europäische Union die Endfassung der EU-Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Die DSGVO wird die EU-Datenschutz-Direktive ersetzen und nach einer zweijährigen Umsetzungsfrist ab dem 25. Mai 2018 in allen EU-Mitgliedsstaaten unmittelbar und direkt gelten. Unternehmen haben bis dahin Zeit, ihr Datenschutz-Management-System den neuen Anforderungen anzupassen.
Rund um die Welt werden laufend neue oder strengere Gesetze in den Bereichen Datenschutz, Informationssicherheit, künstliche Intelligenz usw. erlassen, um dem rasanten technologischen Fortschritt und den zunehmenden Anforderungen der digitalisierten Gesellschaft gerecht zu werden.