Was ist das nDSG?

Definition

Das nDSG (neues Bundesgesetz über den Datenschutz) ist die Totalrevision des schweizerischen Datenschutzgesetzes (DSG) vom 25. September 2020, das am 1. September 2023 in Kraft getreten ist. Es ersetzt das alte DSG von 1992 und modernisiert den Schweizer Rechtsrahmen grundlegend, um ihn an die technologischen Entwicklungen und die europäischen Standards (DSGVO) anzupassen.

Es wird ergänzt durch die Datenschutzverordnung (DSV) sowie die Weisungen des EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter).

Wichtigste Pflichten

Verzeichnis der Bearbeitungstätigkeiten

Unternehmen, deren Datenbearbeitungen ein hohes Risiko für die Rechte der betroffenen Personen darstellen können, müssen ein Verzeichnis der Bearbeitungstätigkeiten führen, das Folgendes dokumentiert: den Bearbeitungszweck, die Datenkategorien, die Empfänger, die Aufbewahrungsfristen und die Sicherheitsmassnahmen.

Datenschutz-Folgenabschätzung (DSFA)

Vor der Einführung einer Bearbeitung, die ein hohes Risiko darstellen kann (Profiling, umfangreiche Bearbeitung sensibler Daten, systematische Überwachung), ist eine Datenschutz-Folgenabschätzung (DSFA) obligatorisch.

Meldung von Verletzungen

Bei einer Verletzung der Datensicherheit (Datenleck, Hackerangriff, Verlust) muss das Unternehmen diese unverzüglich dem EDÖB melden, sofern die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Die unmittelbar betroffenen Personen müssen ebenfalls informiert werden.

Privacy by Design und by Default

Das nDSG kodifiziert die Grundsätze des Datenschutzes durch Technikgestaltung (Privacy by Design) und durch datenschutzfreundliche Voreinstellungen (Privacy by Default): Systeme und Prozesse müssen Datenschutz bereits bei ihrer Erstellung einbeziehen, und die Standardeinstellungen müssen den grösstmöglichen Schutz bieten.

Rechte der betroffenen Personen

Das nDSG stärkt die Rechte der natürlichen Personen, deren Daten bearbeitet werden:

• Auskunftsrecht — eine Kopie der gespeicherten Daten erhalten.
• Berichtigungsrecht — unrichtige Daten korrigieren lassen.
• Recht auf Datenherausgabe — Daten in einem strukturierten Format erhalten.
• Widerspruchsrecht — der Bearbeitung widersprechen, insbesondere bei risikoreichen Profilings.

Schweizer Kontext

Das nDSG gilt für Unternehmen mit Sitz in der Schweiz und — analog zur DSGVO — auch für ausländische Unternehmen, deren Bearbeitungen Auswirkungen in der Schweiz haben (Extraterritorialitätsprinzip). Der EDÖB ist die unabhängige Aufsichtsbehörde, die für die Durchsetzung zuständig ist. Er kann Untersuchungen durchführen und verbindliche Empfehlungen aussprechen.

Anders als die DSGVO, deren Bussen gegen Unternehmen gerichtet sind (bis zu 4 % des weltweiten Jahresumsatzes), sieht das nDSG Strafsanktionen gegen natürliche Personen vor, die Verstösse begehen — Bussen bis zu 250 000 CHF pro Verstoss.

Wie Neoffice dies berücksichtigt

Neoffice speichert die Kundendaten auf Servern in der Schweiz und erfüllt so die Anforderungen an die Datenlokalisierung. Das ERP enthält Mechanismen zur Nachvollziehbarkeit (Zugriffslogs, Änderungsverlauf), rollenbasierte Zugangskontrolle und Verwaltung der Betroffenenrechte (Auskunft, Berichtigung, Löschung). Diese Funktionen erleichtern die nDSG-Konformität der KMU-Kunden.