Werbung
SponsoredContent für VaudoiseVersicherungen
NZZ am Sonntag 1. November 2020
FOTO: VAUDOISE VERSICHERUNGEN
Das modernisierte Schweizer Datenschutzgesetz bringt wichtige Änderungen mit sich. Diese gelten zwar frühestens per Ende 2021. Doch kleine und mittlere Unternehmen sollten sich schon jetzt fit für das Inkrafttreten der neuen Spielregeln machen. Nach mehr als drei Jahren intensiver Debatten hat das Parlament die Totalrevision des Schweizer Datenschutzgesetzes (DSG) Ende September endlich abgeschlossen. Damit wird der seit 1992 gültige Erlass an die veränderten technologischen und gesellschaftlichen Verhältnisse angepasst. Im Fokus stand eine Anlehnung an das europäische Datenschutzumfeld – insbesondere an die Datenschutzgrundverordnung der EU (DSGVO), die seit 2018 in Kraft ist. «Eine Modernisierung des DSG war angesichts der internationalen Entwicklungen notwendig geworden, damit der uneingeschränkte Informationsaustausch mit unseren wichtigsten Handelspartnern weiterhin gewährleistet ist und Schweizer Unternehmen keinen Wettbewerbsnachteil erhalten», erklärt der Wirtschaftsverband Economiesuisse in diesem Zusammenhang. Mit der DSGVO habe die EU eine neue Norm geschaffen, der sich auch hiesige KMU nicht entziehen könnten. Da sich selten trennscharf feststellen lasse, ob ein Schweizer Unternehmen in den Anwendungsbereich der EU gelange, habe es sich in den vergangenen Monaten an zwei Standards orientieren müssen: dem DSG und der DSGVO. Dies sei mit Mehraufwand und Rechtsunsicherheit verbunden gewesen. «Gleichzeitig galt es, die bestehende Gleichwertigkeit mit dem Datenschutz in der EU und anderen Ländern, die sich an die DSGVO angenähert haben, aufrechtzuerhalten», heisst es von Seiten Economiesuisse. Die Komplexität der Totalrevision des Datenschutzgesetzes war von Anfang an gross. Es mussten intelligente Lösungen gefunden werden, die den Schweizer Besonderheiten gerecht werden, die hiesige Wirtschaft nicht unnötig belasten und dem System der EU gleichwertig sind.
Wichtigste Neuerungen Zu den zentralsten Änderungen gehört laut der Anwaltskanzlei Kellerhals Carrard, dass sich der Geltungsbereich des revidierten Datenschutzgesetzes (revDSG) nicht mehr auf Daten von juristi-
schen Personen (Firmen) bezieht, sondern analog der DSGVO auf Daten natürlicher Personen (Menschen) beschränkt. Zudem erweitert es die Aufl f istung von Daten, die als besonders schützenswert gelten und damit an qualifizierte Rechtsfolgen knüpfen. Beispielsweise bei der Einwilligung, der Datenschutz-Folgenabschätzung, der Bekanntgabe an Dritte sowie der Kreditwürdigkeitsprüfung. So werden genetische und biometrische Daten, die eine Person eindeutig identifizieren, neu ebenfalls als besonders schützenswert angesehen. Neu wird Profiling mit hohem Risiko gesetzlich geregelt. Dieses liegt vor, wenn Personendaten automatisiert bearbeitet werden und eine Verknüpfung von Daten die Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Neu muss bei einem Profiling mit hohem Risiko eine allenfalls erforderliche Einwilligung ausdrücklich vorhanden sein. Ferner entfallen das berechtigte Interesse des Verantwortlichen und damit sein Rechtfertigungsgrund für eine Persönlichkeitsverletzung, wenn seine Datenbearbeitungen zur Prüfung der Kreditwürdigkeit ein Profiling mit hohem Risiko beinhaltet. Das revDSG verlangt eine Pfl f icht zur Führung eines Verzeichnisses der Datenbearbeitungen. Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeitende beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt. Zudem werden die beiden Prinzipien «Privacy by Design» sowie «Privacy by Default» gesetzlich verankert. Der Verantwortliche muss die Datenbearbeitung ab der Planung so ausgestalten, dass die Datenschutzvorschriften eingehalten werden (Privacy by Design). Darüber hinaus muss er die Voreinstellungen von Apps oder Websites so gestalten, dass die Bearbeitung von Personendaten auf das nötige Mindestmass beschränkt ist (Privacy by Default). Neu eingeführt wird auch ein Recht auf Datenübertragbarkeit (Portabilität).
Noch haben die Firmen über ein Jahr, um sich auf das Inkrafttreten des revidierten Datenschutzgesetzes vorzubereiten – aber diese Zeit will sinnvoll genutzt werden.
der elektronischen Kommunikation anzupassen. Diesbezüglich gilt es, eine Reihe von relevanten Fragen zu beantworten, zum Beispiel: Zu welchen Zwecken werden Personendaten erhoben und dann effektiv bearbeitet? Was ist die Rechtsgrundlage? Liegt eine Einwilligung vor? Besteht eine Dokumentationspfl f icht? Werden Datenverarbeiter herangezogen? Alles in allem ein durchaus sensibler und komplexer Sachverhalt.
Sinnvolle Versicherung
Demnach kann jede Person die Herausgabe ihrer Personendaten in einem gängigen elektronischen Format beziehungsweise deren Übertragung an ein anderes Unternehmen verlangen. In der Regel sollte dies kostenlos sein. Ebenso für ausländische Betriebe, die auf dem hiesigen Markt tätig sind, soll das revDSG zukünftig explizit gelten.
Frühzeitige Überprüfung Das modernisierte Datenschutzgesetz dürfte frühestens Ende 2021 in Kraft treten. Dennoch sollten KMU ihre Privacy-Richtlinien möglichst schnell überprüfen, um rechtzeitig alle nötigen Anpassungen vornehmen zu können. Dabei gilt es gemäss dem Beratungsdienstleister PwC, von temporären taktischen Lösungen wegzukommen und langfristige strategische Lösungen zu finden. Die Automatisierung von Anfragen müsse vorangetrieben werden, um die Verarbeitung, das Case Management sowie die Löschung beziehungsweise Archivierung von persönlichen Daten zu bewerkstelligen. PwC rät Unternehmen, ihren Standard mit Blick auf die Privacy-Richtlinien zu analysieren und bei Bedarf ihre Prozesse an den Datenschutz im Internet und bei
Ein Verstoss gegen das revDSG kann weitreichende Folgen für ein Unternehmen haben. «Selbst kleine Betriebe verwalten täglich persönliche Daten – beispielsweise in Kunden- oder Buchhaltungsdateien», sagt Pierre Hüppi, Head of Underwriting Haftpfl f icht & Kaution bei den Vaudoise Versicherungen. Um KMU vor Risiken zu schützen, bietet die schweizweit tätige Vaudoise individuelle Beratung und massgeschneiderte Lösungen. Bei fahrlässiger Verletzung von Datenschutzbestimmungen nach schweizerischem oder europäischem Recht versichert die Deckung «Cyber- und Datenschutz» mögliche Ansprüche Dritter gegenüber dem Unternehmen und entschädigt dieses bei berechtigten Ansprüchen. Zum Beispiel, wenn Mitarbeitende versehentlich eine Akte im Zug vergisst und so vertrauliche Informationen an die Öffentlichkeit gelangen. Oder wenn die Kundendatenbank gehackt und Mail-Adressen, Kreditkarten- oder andere Informationen im Internet publiziert oder auf andere Art und Weise missbraucht werden. Noch haben die Firmen über ein Jahr, um sich auf das Inkrafttreten des revDSG vorzubereiten – aber diese Zeit will sinnvoll genutzt werden.
Dieser Inhalt wurde von NZZ Content Creation im Auftrag der Vaudoise erstellt.
Die Vaudoise für KMU «Business One», die Versicherungslösungen für Unternehmen der Vaudoise, enthält die optionale Deckung «Cyber- und Datenschutz», die als Ergänzung zur Inventarversicherung erhältlich ist. Sie bietet Sicherheit bei Angriffen auf elektronische Daten oder IT-Systeme, bei unerlaubten Zugriffen auf elektronische Daten sowie gegen unerlaubtes Eindringen. Die Zusatzdeckung übernimmt ausserdem die Datenwiederherstellung, Schäden bei missbräuchlicher Verwendung von Debit- und Kreditkarten sowie Kosten für die Wiederherstellung des guten Rufs des KMU. Darüber hinaus profitieren Kunden von einer Rund-um-die-UhrUnterstützung bei Cyber-Angriffen sowie vom kostenlosen AssistanceService «Technologie» (SoftwareInstallation, Hardware-Beratung etc.), dies sogar unabhängig von einem konkreten Schadenfall. Seit 1895 versichert die VaudoiseGruppe Unternehmen und Privatpersonen in der gesamten Schweiz. Die Allbranchen-Versicherungsgesellschaft gehört zu den zehn grössten Versicherern des Landes. Sie beschäftigt rund 1600 Mitarbeitende sowie knapp 100 Lernende. Die Vaudoise ist in allen Schweizer Landesteilen mit mehr als 100 Agenturen direkt vertreten. Ganz im Sinne ihrer genossenschaftlichen Wurzeln gibt sie ihren Kunden einen Teil des Gewinns weiter. So erhalten abwechselnd Kunden mit einer Motorfahrzeugversicherung oder Haftpflichtund Sachversicherung eine Prämienrückerstattung von 10 Prozent beziehungsweise 20 Prozent. Im Jahr 2020 haben die Vaudoise Versicherungen so 34 Millionen Franken verteilt. www.vaudoise.ch/de/unternehmen