Für private Unternehmen ist ein Datenschutzberater nach dem revidierten Datenschutzgesetz freiwillig, nur Bundesorgane müssen einen ernennen. Wer Daten von Personen in der EU bearbeitet, sollte zusätzlich prüfen, ob die DSGVO für die konkrete Tätigkeit relevant ist. Dazu kommen die DSFA, die Meldepflicht bei Datenpannen und die Vertretungspflicht für Verantwortliche im Ausland. Wir ordnen das Schritt für Schritt ein.
Kurz gesagt:
Bei voraussichtlich hohem Risiko müssen Unternehmen eine Folgenabschätzung durchführen; bleibt ein hohes Restrisiko, entfällt die Konsultation des EDÖB nur mit einem ernannten, qualifizierten Berater.
Ausländische Unternehmen müssen unter bestimmten Voraussetzungen eine Vertretung in der Schweiz benennen; deren Kontaktdaten müssen öffentlich zugänglich sein und dienen Betroffenen sowie EDÖB als Anlaufstelle.
Melden Sie eine Datensicherheitsverletzung dem EDÖB, wenn sie voraussichtlich zu einem hohen Risiko führt; halten Sie Ursache, betroffene Daten und Massnahmen vorab fest.
Der Datenschutzberater muss fachlich unabhängig sein; vereinbaren Sie deshalb Weisungsfreiheit, direkten Zugang zur Geschäftsleitung und ausreichende Ressourcen ausdrücklich im Vertrag.
Wann die Ernennung nötig wird: revDSG und DSGVO im Vergleich
Das revDSG verlangt von Privaten keinen Datenschutzberater. Art. 10 DSG sieht die Pflicht nur für Bundesorgane vor, Private dürfen freiwillig einen ernennen. Das klingt entspannt, ist es aber nur auf den ersten Blick.
Entscheidend ist, wo und für wen Sie Daten bearbeiten:
- Rein inländische Tätigkeit ohne besondere Risiken: Kein Berater nötig. Interne Zuständigkeiten und eine saubere Dokumentation reichen.
- Geschäfte mit der EU: Prüfen Sie, ob die DSGVO für Ihre konkrete Tätigkeit zusätzliche Anforderungen mit sich bringt.
- Hohes Datenrisiko: Ein Berater wird zum strategischen Hebel, weil er den Verzicht auf die EDÖB-Konsultation bei der DSFA ermöglichen kann (dazu gleich mehr).
- Bundesorgane: Hier gilt die Pflicht ohne Wenn und Aber.
Für Ihre Planung heisst das: Schätzen Sie zuerst Ihr Risiko ein, legen Sie dann fest, wer intern zuständig ist, und dokumentieren Sie die Entscheidung, auch wenn sie gegen einen Berater ausfällt. Ergänzend lohnt der Blick auf die Pflichten seit dem revDSG. Eine externe Sicht auf den Stellenwert des Themas liefert dieser Beitrag zur Bedeutung des Datenschutzes.
DSFA: Wann sie nötig ist und wie ein Berater die Konsultation ersetzt
Eine Datenschutz-Folgenabschätzung brauchen Sie, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringt. Art. 22 DSG knüpft das an Art, Umfang und Zweck der Bearbeitung. Bleibt trotz Gegenmassnahmen ein hohes Risiko, verlangt Art. 23 die Konsultation des EDÖB.
Hier greift die Ausnahme: Private Verantwortliche können auf diese Konsultation verzichten, wenn sie einen Datenschutzberater ernannt haben, der die Anforderungen von Art. 10 Abs. 3 DSG erfüllt. Das bestätigt auch die Einordnung von Legal 500. Der Aufwand verschiebt sich also: weg von der Behörde, hin zu einem qualifizierten Berater.
So gehen Sie vor:
- Beschreiben Sie die geplante Bearbeitung: Zweck, Datenarten, Umfang, Empfänger.
- Bewerten Sie die Risiken für die Betroffenen und halten Sie die Massnahmen dagegen fest.
- Prüfen Sie, ob ein hohes Restrisiko bleibt.
- Klären Sie, ob ein Berater mit den nötigen Qualifikationen eingebunden ist, andernfalls steht die Konsultation an.
- Archivieren Sie die DSFA samt Entscheidungsgrundlage.
Profi-Tipp: Binden Sie den Berater vor dem Projektstart ein, nicht erst bei der Abnahme. Dann sind Datenflüsse und Risiken noch änderbar.
Wie eine DSFA praktisch aufgebaut wird, zeigt unsere Anleitung zur Datenschutzfolgeabschätzung. Der EDÖB erklärt das Instrument auf seiner Seite zur Datenschutz-Folgenabschätzung.
Vertretungspflicht für Verantwortliche im Ausland nach Art. 14 DSG
Sitzt Ihr Unternehmen im Ausland und bearbeitet es Daten von Personen in der Schweiz, kann eine Vertretung in der Schweiz Pflicht sein. Die Details legt der EDÖB zur Benennung einer Vertretung nach Art. 14 DSG dar. Die Voraussetzungen betreffen unter anderem die regelmässige Bearbeitung, ein hohes Risiko und den Umfang.
Die Vertretung hat eine klare Rolle:
- Sie ist Anlaufstelle für Betroffene und für den EDÖB.
- Sie dient als Zustellungsdomizil in der Schweiz.
- Ihre Kontaktdaten müssen öffentlich zugänglich sein.
Machen Sie die Kontaktdaten der Vertretung öffentlich zugänglich. Prüfen Sie, welche weiteren Schritte in Ihrem Fall erforderlich sind.
Aufgaben, Anforderungen und Unabhängigkeit des Datenschutzberaters
Der Berater muss fachlich kompetent und weisungsunabhängig sein. Der EDÖB hält auf seiner Seite zu Datenschutzberaterin und -berater fest: Er darf keine Aufgaben wahrnehmen, die mit dieser Rolle unvereinbar sind. Seine Kontaktdaten sind zu veröffentlichen und können dem EDÖB gemeldet werden.
Mögliche Aufgaben im Alltag sind die Beratung des Unternehmens und die Mitwirkung bei der DSFA.
Prüfen Sie, ob weitere Aufgaben mit der unabhängigen Rolle des Datenschutzberaters vereinbar sind. Regeln Sie die Stellung deshalb im Vertrag: Weisungsfreiheit bei der fachlichen Beurteilung, direkter Zugang zur Geschäftsleitung, ausreichende Ressourcen.
Profi-Tipp: Halten Sie schriftlich fest, welche weiteren Funktionen der Berater ausübt, und prüfen Sie diese jährlich auf Interessenkonflikte.
Datenpannen melden: Pflichten und Ablauf im EDÖB-Meldeportal
Eine Verletzung der Datensicherheit müssen Sie dem EDÖB melden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Die Grundlage ist Art. 24 DSG, die Einzelheiten zum Inhalt der Meldung regelt Art. 15 DSV. Der EDÖB erklärt Praxisfälle im Leitfaden DataBreach. Weitere Pflichten zu technischen und organisatorischen Massnahmen finden Sie im Leitfaden zu den technischen und organisatorischen Massnahmen.
Der Ablauf in der Praxis:
- Vorfall erkennen und eindämmen.
- Risiko für die Betroffenen einschätzen.
- Meldung über das Onlineformular des EDÖB absenden.
- Bestätigung des EDÖB ablegen.
- Betroffene informieren, wo das nötig oder angezeigt ist.
Der EDÖB stellt ein Onlineformular bereit, mit dem Sie Datensicherheitsverletzungen sicher melden und eine Bestätigung erhalten. (Quelle: Leitfaden DataBreach)
Legen Sie vorab eine Vorlage an: Zeitpunkt, betroffene Daten, mutmassliche Ursache, getroffene Massnahmen. Im Ernstfall fehlt die Zeit zum Formulieren.
Wann wir Mandanten zu einem Datenschutzberater raten
Ein Berater lohnt sich aus unserer Sicht überall dort, wo Datenflüsse über Grenzen und Sprachen hinweg laufen, etwa bei Konzernstrukturen mit Gesellschaften in der EU, in der Schweiz und im Osten. Ein Berater kann bei solchen Konzernstrukturen die rechtliche Einordnung unterstützen. Auch bei Vorfällen zählt Tempo: Wer schon weiss, wer meldet und was gemeldet wird, verliert keine Stunden. Und die Kommunikation mit Behörden und Betroffenen gelingt in der richtigen Sprache besser. Für die Erstprüfung und die DSFA-Begleitung stehen wir bereit.
— Bitblade
Unsere Unterstützung bei DSB-Prüfung und DSFA
Wir klären mit Ihnen, ob Sie einen Berater brauchen, und begleiten Sie, wenn Sie einen ernennen. Wir unterstützen Sie direkt in der Kommunikation mit einer Juristin.
- Datenschutz-Check nach revDSG
- Begleitung bei der Datenschutz-Folgenabschätzung
- Beratung zu Vertretung und Publikation der Kontaktdaten
Unser Ablauf: Erstgespräch, Klärung des Umfangs, Angebot. Die Erstberatung beginnt bei 150 CHF pro Stunde. Fragen Sie jetzt Ihr Erstgespräch an und schildern Sie uns Ihren Fall.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
FAQ
Ist ein Datenschutzbeauftragter in der Schweiz verpflichtend?
Für private Unternehmen nein, die Ernennung ist freiwillig. Verpflichtet sind Bundesorgane. Bei Datenbearbeitungen mit Bezug zur EU sollten Unternehmen prüfen, ob neben dem Schweizer Recht weitere Anforderungen gelten.
Welche Pflichten hat ein Datenschutzbeauftragter?
Er berät das Unternehmen, überwacht die Einhaltung des Datenschutzes und wirkt bei der DSFA mit. Er muss fachlich unabhängig sein, und seine Kontaktdaten sind zu veröffentlichen.
Welche Grundsätze gelten im Datenschutz besonders?
Zentral sind Rechtmässigkeit, Transparenz, Zweckbindung und Datensicherheit. Das revDSG verlangt dazu unter anderem Informationspflichten und technische Schutzmassnahmen.
Ist eine Datenschutzerklärung verpflichtend?
In vielen Fällen ja, denn das DSG sieht Informationspflichten gegenüber Betroffenen vor. Eine Datenschutzerklärung kann dazu dienen, Betroffene über die Bearbeitung ihrer Daten zu informieren.