Das ursprünglich per 2022 erwartete neue Datenschutzgesetz tritt voraussichtlich erst in der zweiten Jahreshälfte 2023 in Kraft. Damit bleibt genug Zeit, sich auf die neuen Anforderungen einzustellen. Diese werden zwar weniger streng sein als diejenigen der EU, aber Achtung: Wer Daten von EU-Bürger*innen verwaltet, kann sich nicht auf das nationale Recht verlassen und muss die Datenschutzverordnung der EU bereits jetzt erfüllen.

Inkrafttreten des neuen Datenschutzgesetzes erst 2023

Die angepassten Datenschutzbestimmungen werden laut dem Bundesamt für Justiz am 1. September 2023 in Kraft treten und nicht, wie ursprünglich geplant, schon in der zweiten Jahreshälfte 2022. Im vergangenen Herbst hat das Parlament eine Totalrevision des Schweizer Datenschutzgesetzes (DSG) verabschiedet. Dieses soll in vielen Punkten an die Datenschutzgrundverordnung der EU (DSGVO) angeglichen werden, insgesamt aber liberaler ausfallen.

Höhere Anforderungen beim Datenschutz

Mit dem neuen DSG entstehen neue Rechte und Pflichten, sowohl für Unternehmen als auch für Versicherer. Unternehmen, die mit Daten arbeiten, müssen sich unter anderem darauf einstellen, Datenbearbeitungsinventare zu führen, Datenverluste zu melden, oder Datenschutzerklärungen zu veröffentlichen. Für Versicherer sind vor allem die neuen Vorschriften zum «Profiling» relevant. Die automatisierte Auswertung von personenbezogenen Daten aus verschiedenen Quellen ermöglicht es z.B. Persönlichkeitsprofile, Lebensumstände oder Verhaltensweisen abzuleiten. Wenn ein hohes Risiko für die Persönlichkeit oder die Grundrechte einer Person besteht, muss diese laut dem neuen DSG einwilligen. Es bleibt zwar vorerst unklar, wann ein solches Risiko genau vorliegt, im Gegensatz zur europäischen DSVGO, muss es sich dabei aber wohl um besonders schützenswerte Daten handeln, etwa zu Religion, politischen Ansichten, oder der persönlichen Gesundheit.

Hohe Bussen bei Verfehlungen

Sollten die neuen Vorschriften verfehlt werden, drohen künftig hohe Bussen von bis zu 250’000 Franken. Noch drakonischer könnte die Strafe jedoch ausfallen, wenn Datenschutzrechte von EU-Bürger*innen verletzt werden. In solchen Fällen greift nämlich die europäische DSVGO und nicht das nationale Recht. Davon wären z.B. die Schweizer Tourismusbranche oder auch Firmen, die in die EU exportieren, betroffen. Hier können sich die Bussen gar auf 20 Millionen Euro, beziehungsweise auf vier Prozent des letztjährigen Umsatzes belaufen.