Was ist das revDSG?

Was das revidierte Gesetz geändert hat

Das revDSG – oft auch nDSG oder einfach DSG genannt – hat das Datenschutzgesetz von 1992 abgelöst. Es schützt nur noch Daten natürlicher Personen, nicht mehr jene von Firmen, und lehnt sich in vielen Punkten an die europäische DSGVO an. Es gilt für alle privaten Unternehmen unabhängig von ihrer Grösse und für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Die Aufsicht hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Wichtig vorweg: Dieser Eintrag ist eine Übersicht, keine Rechtsberatung – für euren konkreten Fall zieht ihr eine Fachperson bei.

Die wichtigsten Pflichten für KMU

Grundlage sind die Bearbeitungsgrundsätze: Daten rechtmässig, verhältnismässig und nur für einen erkennbaren Zweck bearbeiten und vernichten oder anonymisieren, sobald sie nicht mehr nötig sind (Art. 6). Daraus folgen konkrete Pflichten:

• Informationspflicht (Art. 19): Ihr informiert Betroffene bei der Beschaffung mindestens über eure Identität, den Zweck und allfällige Empfänger – meist über eine Datenschutzerklärung.
• Verzeichnis der Bearbeitungstätigkeiten (Art. 12): Zweck, Kategorien von Personen und Daten, Empfänger, Aufbewahrung, Sicherheitsmassnahmen, Auslandbekanntgaben. Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder betreiben Profiling mit hohem Risiko (Art. 24 DSV).
• Datensicherheit (Art. 8) und Datenschutz durch Technik (Art. 7): dem Risiko angemessene technische und organisatorische Massnahmen und datenschutzfreundliche Voreinstellungen, ab der Planung mitgedacht.
• Auftragsbearbeitung (Art. 9): Wer Daten durch Dritte bearbeiten lässt, etwa durch einen Hoster, regelt das vertraglich und vergewissert sich, dass die Datensicherheit gewährleistet ist.
• Bekanntgabe ins Ausland (Art. 16): zulässig in Staaten, denen der Bundesrat einen angemessenen Schutz bescheinigt, sonst nur mit Garantien wie Standarddatenschutzklauseln.
• Meldung von Verletzungen (Art. 24): Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko meldet ihr so rasch als möglich dem EDÖB.
• Auskunftsrecht (Art. 25) und Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 22).

Bussen treffen Personen

Anders als die DSGVO richtet sich das revDSG mit seinen Strafbestimmungen in erster Linie gegen die verantwortlichen natürlichen Personen. Wer vorsätzlich etwa Informations- oder Auskunftspflichten verletzt, Daten ohne genügende Garantien ins Ausland gibt oder die Mindestanforderungen an die Datensicherheit missachtet, kann auf Antrag mit bis zu 250’000 Franken gebüsst werden (Art. 60 und 61). Das Unternehmen selbst kann nur ausnahmsweise an Stelle der Person verurteilt werden, mit einer Busse von höchstens 50’000 Franken (Art. 64).

Was das für euer ERP heisst

In einem ERP laufen Kunden-, Lieferanten- und Mitarbeitendendaten zusammen. Damit ist es der Ort, an dem viele Einträge eures Bearbeitungsverzeichnisses praktisch stattfinden. Konkret heisst das: Zugriffsrechte nach Rolle vergeben, Aufbewahrungsfristen und Löschregeln festlegen, Backups und Updates im Griff haben und wissen, welche Daten über welche Schnittstellen hinausfliessen.

Wird euer System extern betrieben, ist der Hoster Auftragsbearbeiter, und der Serverstandort zählt. Let’s Doo hostet Odoo auf Servern in der Schweiz, in Deutschland und in Finnland, DSGVO- und revDSG-konform; Deutschland und Finnland stehen als EU-Staaten auf der Liste des Bundesrats mit angemessenem Datenschutz. Mehr dazu unter Hosting. Wer lieber selbst betreibt, findet die Variante unter On-Premise.

Häufige Fragen zu revDSG

Deine Frage ist nicht dabei? Frag uns direkt – das Erstgespräch ist kostenlos und unverbindlich.

Seit wann gilt das neue Datenschutzgesetz in der Schweiz?

Das revidierte Datenschutzgesetz (revDSG) ist seit dem 1. September 2023 in Kraft. Es hat das Datenschutzgesetz von 1992 vollständig abgelöst.

Muss jedes KMU ein Bearbeitungsverzeichnis führen?

Nein. Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV). Als Übersicht für euch selbst kann ein schlankes Verzeichnis trotzdem nützlich sein.

Was ist der Unterschied zwischen revDSG und DSGVO?

Das revDSG ist Schweizer Recht, die DSGVO EU-Recht; inhaltlich sind sie eng verwandt. Unterschiede gibt es etwa bei der Meldepflicht und bei den Bussen. Wann die DSGVO auch für Schweizer Firmen gilt, steht unter DSGVO.