Was ist die DSGVO?

Eine Verordnung für die ganze EU

Als Verordnung gilt die DSGVO in allen EU-Staaten direkt, ohne Umsetzung in nationale Gesetze, und über das EWR-Abkommen auch in Norwegen, Island und Liechtenstein. Geregelt sind die Grundsätze der Verarbeitung, die Rechtsgrundlagen – etwa Einwilligung, Vertrag oder berechtigtes Interesse –, die Rechte der Betroffenen wie Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sowie die Pflichten von Verantwortlichen und Auftragsverarbeitern.

Bekannt ist die DSGVO vor allem für ihre Bussen: bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens, je nachdem, welcher Betrag höher ist (Art. 83). Datenpannen müssen der Aufsichtsbehörde in der Regel innert 72 Stunden gemeldet werden (Art. 33). Zur Einordnung: Dieser Eintrag ist eine Übersicht, keine Rechtsberatung.

Wann die DSGVO für Schweizer Firmen gilt

Die Schweiz ist kein EU-Mitglied – trotzdem kann die DSGVO für Schweizer Unternehmen gelten. Entscheidend ist Art. 3:

• Niederlassung in der EU (Abs. 1): Habt ihr dort eine Tochterfirma oder Filiale, gilt die DSGVO für deren Datenverarbeitung.
• Angebot an Personen in der EU (Abs. 2 lit. a): Ihr richtet Waren oder Dienstleistungen gezielt an Personen in der EU, etwa mit einem Onlineshop, der nach Deutschland liefert und in Euro abrechnet. Dass eure Website aus der EU erreichbar ist, reicht allein nicht.
• Beobachtung von Verhalten (Abs. 2 lit. b): Ihr verfolgt das Verhalten von Personen in der EU, zum Beispiel mit Tracking oder Profiling.

Vertreter in der EU

Wer nur wegen Abs. 2 unter die DSGVO fällt und keine Niederlassung in der EU hat, muss in der Regel schriftlich einen Vertreter in der EU benennen (Art. 27). Er ist Anlaufstelle für Aufsichtsbehörden und Betroffene. Ausgenommen ist eine nur gelegentliche Verarbeitung, die keine besonders sensiblen Daten in grossem Umfang umfasst und voraussichtlich kein Risiko für die Betroffenen mit sich bringt.

DSGVO und revDSG: verwandt, aber nicht gleich

Das Schweizer revDSG orientiert sich stark an der DSGVO, setzt aber eigene Akzente. Die Meldepflicht bei Datenpannen greift in der Schweiz erst bei voraussichtlich hohem Risiko und kennt keine feste Stundenfrist. Bussen richten sich in der Schweiz vor allem gegen verantwortliche Personen, in der EU gegen das Unternehmen.

Für den Datenverkehr wichtig: Die EU-Kommission anerkennt die Schweiz seit 2000 als Land mit angemessenem Datenschutzniveau und hat das im Januar 2024 bestätigt. Personendaten dürfen deshalb ohne zusätzliche Garantien aus der EU in die Schweiz fliessen. Umgekehrt stehen die EU-Staaten auf der Schweizer Liste der Länder mit angemessenem Schutz.

Was das für eure Systeme heisst

Fallt ihr unter die DSGVO, kommen zu den Schweizer Pflichten die europäischen dazu, etwa ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Verträge mit Auftragsverarbeitern (Art. 28) und geeignete technische und organisatorische Massnahmen (Art. 32). Besonders betroffen sind Betriebe mit einem Onlineshop oder Newslettern an Kundschaft in der EU – Stichwort Marketing-Automatisierung.

Die meisten dieser Daten liegen am Ende in eurem ERP, und wo es betrieben wird, spielt eine Rolle. Let’s Doo hostet Odoo auf Servern in der Schweiz, in Deutschland und in Finnland, DSGVO- und revDSG-konform. Welcher Standort zu euch passt, klären wir beim Hosting.

Häufige Fragen zu DSGVO

Deine Frage ist nicht dabei? Frag uns direkt – das Erstgespräch ist kostenlos und unverbindlich.

Gilt die DSGVO auch in der Schweiz?

Nicht direkt, die Schweiz hat mit dem revDSG ein eigenes Gesetz. Schweizer Firmen fallen aber unter die DSGVO, wenn sie eine Niederlassung in der EU haben, Personen in der EU gezielt Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Art. 3 DSGVO).

Brauchen Schweizer Firmen einen EU-Vertreter?

Wenn die DSGVO wegen eines Angebots an Personen in der EU oder wegen Verhaltensbeobachtung gilt und keine EU-Niederlassung besteht, in der Regel ja (Art. 27 DSGVO). Ausnahmen gibt es für nur gelegentliche Verarbeitungen ohne nennenswertes Risiko.

Dürfen Daten aus der EU in die Schweiz übermittelt werden?

Ja. Die EU-Kommission anerkennt das Schweizer Datenschutzniveau als angemessen, zuletzt bestätigt im Januar 2024. Zusätzliche Garantien wie Standardvertragsklauseln braucht es dafür nicht.