Was regelt das neue Datenschutzgesetz?
Das nDSG schützt Personendaten natürlicher Personen, also zum Beispiel Kundenkontakte, Mitarbeiterdaten oder Bestellungen von Privatpersonen. Daten von Firmen fallen seit der Revision nicht mehr darunter. Wer Personendaten bearbeitet, muss transparent informieren, die Daten angemessen schützen und Datenschutz schon bei der Planung von Systemen berücksichtigen (Privacy by Design).
Müssen Daten nach dem nDSG in der Schweiz gespeichert werden?
Nein. Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat dem Land einen angemessenen Datenschutz bescheinigt oder wenn zusätzliche Garantien bestehen, etwa Standardvertragsklauseln. Wer in einem Schweizer Rechenzentrum hostet, muss diese Fragen für die gehosteten Systeme nicht klären. Für Cloud-Dienste mit Servern im Ausland, Support aus dem Ausland oder Backups an anderen Standorten bleiben sie bestehen.
Was gilt für IT-Dienstleister und Hosting-Partner?
Wenn ein Dienstleister Personendaten in Ihrem Auftrag bearbeitet, etwa beim Hosting, bei der Fernwartung oder im Support, spricht das Gesetz von Auftragsbearbeitung. Sie bleiben verantwortlich und müssen sicherstellen, dass der Dienstleister die Daten nur so bearbeitet, wie Sie es dürften, und die Datensicherheit gewährleistet. Das wird in einem Vertrag festgehalten, oft als Auftragsbearbeitungsvertrag bezeichnet. Weitere Unterauftragnehmer braucht es nur mit Ihrer Zustimmung.
Welche Pflichten haben KMU zusätzlich?
- Datenschutzerklärung: informieren, welche Daten zu welchem Zweck bearbeitet werden und an wen sie gehen.
- Verzeichnis der Bearbeitungstätigkeiten: Pflicht ab 250 Mitarbeitenden; kleinere Unternehmen sind befreit, ausser sie bearbeiten in grossem Umfang besonders schützenswerte Daten oder machen ein Profiling mit hohem Risiko.
- Datensicherheitsverletzungen: dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich melden, wenn ein hohes Risiko für die Betroffenen besteht.
- Datenschutz-Folgenabschätzung: vor Bearbeitungen mit hohem Risiko für die betroffenen Personen.
Bei vorsätzlichen Verstössen gegen bestimmte Pflichten sieht das nDSG Bussen bis 250 000 Franken vor. Sie richten sich gegen die verantwortlichen Personen, nicht gegen das Unternehmen.
Checkliste: Was sollten KMU beim Hosting prüfen?
- Wo stehen die Server, wo die Backups, und von wo aus wird Support geleistet?
- Gibt es einen Vertrag zur Auftragsbearbeitung mit allen Dienstleistern, die Personendaten sehen?
- Sind Zugriffe, Verschlüsselung, Backups und Wiederherstellung geregelt und getestet?
- Ist klar, wer eine Datenpanne meldet und wie schnell der Dienstleister Sie informiert?
- Sind Datenschutzerklärung und, falls nötig, das Verzeichnis der Bearbeitungstätigkeiten aktuell?
Wie unterstützt elvadata?
Wir betreiben Systeme unserer Kunden im Schweizer Rechenzentrum unseres Partners Netrics, die Daten bleiben in der Schweiz. Unser Informationssicherheits-Managementsystem ist nach den Massstäben von ISO 27001 aufgebaut. Rechtliche Fragen klären Sie am besten mit Ihrer Rechtsberatung; die technische Umsetzung übernehmen wir mit Ihnen. Mehr zum Thema im Ratgeber Hosting in der Schweiz.