Re­vi­dier­tes Da­ten­schutz­ge­setz tritt im Sep­tem­ber 2023 in Kraft

Das im Herbst 2020 re­vi­dier­te Da­ten­schutz­ge­setz und die da­zu­ge­hö­ri­ge Ver­ord­nung lie­gen nun vor. Damit neigt sich ein lan­ger Pro­zess, der von einer in­ten­si­ven par­la­men­ta­ri­schen Be­ra­tung und tech­nisch an­spruchs­vol­len Dis­kus­sio­nen ge­prägt war, dem Ende zu.

Das Par­la­ment hatte im Herbst 2022 nach über drei Jah­ren De­bat­ten das neue Da­ten­schutz­ge­setz ver­ab­schie­det. Eine Mo­der­ni­sie­rung des Ge­set­zes war an­ge­sichts der in­ter­na­tio­na­len Ent­wick­lun­gen not­wen­dig ge­wor­den, damit der Da­ten­aus­tausch mit un­se­ren wich­tigs­ten Han­dels­part­nern wei­ter­hin ge­währ­leis­tet ist und die Schwei­zer Un­ter­neh­men kei­nen Wett­be­werbs­nach­teil er­hal­ten. Somit war seit Be­ginn der Re­vi­si­on die Gleich­wer­tig­keit einer der gros­sen Trei­ber. Ein Ent­scheid der EU zur Be­stä­ti­gung der Äqui­va­lenz der Schwei­zer Da­ten­schutz­re­ge­lung steht indes nach wie vor aus, dies ob­wohl die Vor­la­ge tech­nisch ein­deu­tig gleich­wer­tig mit der Re­ge­lung in der EU ist.

Wirt­schaft for­der­te Nach­bes­se­run­gen

Wäh­rend die Wirt­schaft das vom Par­la­ment be­schlos­se­ne Da­ten­schutz­ge­setz als Kom­pro­miss, der die un­ter­schied­li­chen Po­si­tio­nen und In­ter­es­sen im Land be­rück­sich­tigt, ak­zep­tie­ren konn­te, hatte der erste Ent­wurf der Ver­ord­nung An­lass für mas­si­ve Kri­tik ge­bo­ten. Der Ent­wurf hatte die po­li­ti­sche Dis­kus­si­on und das Ge­setz an we­sent­li­chen Stel­len völ­lig igno­riert und wirk­te so wie ein un­ab­hän­gig ent­stan­de­nes Re­gel­werk. Ge­ra­de auch im Ver­hält­nis zur EU-Re­gu­lie­rung hät­ten zahl­rei­che über­schies­sen­de Swiss Fi­nis­hes zu fak­tisch zwei Stan­dards für die Un­ter­neh­men ge­führt. eco­no­mie­su­is­se hatte sich in der Ver­nehm­las­sung daher noch­mals mit Nach­druck für eine star­ke Über­ar­bei­tung und Ver­bes­se­rung der Vor­la­ge aus­ge­spro­chen.

Un­nö­ti­ge Pflich­ten blei­ben lei­der er­hal­ten

Zwar wur­den in wich­ti­gen Punk­ten An­pas­sun­gen be­schlos­sen. Lei­der aber nicht bei allen. So wurde ohne Not­wen­dig­keit an bü­ro­kra­ti­schen Pflich­ten wie der Pro­to­kol­lie­rung und dem Be­ar­bei­tungs­re­gle­ment fest­ge­hal­ten. Dies ent­spricht nicht dem Sinne des Par­la­ments, wel­ches sich be­wusst für einen ri­si­ko­ba­sier­ten An­satz und gegen eine Pro­to­kol­lie­rungs­pflicht aus­ge­spro­chen hatte. Für die Un­ter­neh­men wird diese Pflicht vor­aus­sicht­lich noch zu Her­aus­for­de­run­gen füh­ren.

Bei den Pflich­ten des Da­ten­schutz­ver­ant­wort­li­chen hat der Bun­des­rat be­grüs­sens­wer­ter­wei­se viel nach­ge­bes­sert. So hat er sich auf den Ge­set­zes­text zu­rück­be­son­nen, der sich nur an den Ver­ant­wort­li­chen und nicht an wei­te­re Per­so­nen rich­tet. Auch der ur­sprüng­li­che Ar­ti­kel 16 (In­for­ma­ti­on über die Be­rich­ti­gun­gen, Lö­schun­gen und Ver­nich­tung sowie die Ein­schrän­kun­gen der Be­ar­bei­tung von Per­so­nen­da­ten), der be­reits im Rah­men der Ver­nehm­las­sung zum Ge­setz aus der Vor­la­ge ent­fernt wor­den war, wurde nun rich­ti­ger­wei­se auch aus der Ver­ord­nung ge­stri­chen.

Un­ter­neh­men soll­ten sich nun vor­be­rei­ten

eco­no­mie­su­is­se hatte auf­grund des gros­sen Hand­lungs­be­darfs für klei­ne und gros­se Un­ter­neh­men ge­for­dert, dass ge­nü­gend Zeit zwi­schen der Pu­bli­ka­ti­on der end­gül­ti­gen Texte und das In­kraft­tre­ten er­mög­licht würde. Der Bun­des­rat ist die­ser Bitte ge­folgt und die Un­ter­neh­men haben nun ein Jahr Zeit, die neuen Re­ge­lun­gen um­zu­set­zen.

Diese Zeit soll­te nun ge­nutzt wer­den, der An­pas­sungs­be­darf darf dabei nicht un­ter­schätzt wer­den.