Das neue Datenschutzgesetz (nDSG, auch revDSG) ist das Schweizer Gesetz zum Schutz von Personendaten natürlicher Personen und gilt seit dem 1. September 2023. Es ersetzt das alte DSG von 1992 und nähert die Schweiz der DSGVO an, bleibt aber eigenständig. Es gilt für private Unternehmen und Bundesorgane. Aufsicht ist der EDÖB. Bei bestimmten vorsätzlichen Verstössen drohen Bussen bis CHF 250'000, und zwar grundsätzlich gegen die verantwortliche Person, nicht gegen das Unternehmen.
Ein Beispiel aus dem Alltag
Die Treuhand Muster AG in Zürich (ein erfundenes Beispiel) erstellt Steuererklärungen und Lohnabrechnungen für 300 Kundinnen und Kunden. Eine Mitarbeiterin kopiert Lohnausweise in einen KI-Dienst, um Rückfragen schneller zu beantworten. Das nDSG stellt dazu mehrere Fragen: Wurden die Kunden über die Bearbeitung informiert? Ist der KI-Anbieter ein Auftragsbearbeiter mit Vertrag? In welches Land gehen die Daten? Und hält die Datensicherheit die Mindestanforderungen ein?
Gehen die Daten in ein Land ohne angemessenen Schutz, ohne dass die nötigen Garantien bestehen, kann im schlimmsten Fall eine Busse gegen die verantwortliche Person verhängt werden, etwa gegen das zuständige Geschäftsleitungsmitglied.
Das nDSG im Einzelnen
Für wen es gilt
Das nDSG gilt für private Personen und Unternehmen sowie für Bundesorgane. Kantonale und kommunale Behörden folgen den kantonalen Datenschutzgesetzen. Geschützt sind nur noch natürliche Personen, nicht mehr juristische Personen wie unter dem alten Recht. Das Gesetz gilt auch für Sachverhalte im Ausland, die sich in der Schweiz auswirken.
Die wichtigsten Begriffe
- Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Das entspricht den personenbezogenen Daten der DSGVO.
- Besonders schützenswerte Personendaten: unter anderem Gesundheitsdaten, genetische und biometrische Daten, religiöse und politische Ansichten, Daten über verwaltungs- und strafrechtliche Verfolgungen sowie über Massnahmen der sozialen Hilfe.
- Bearbeiten: jeder Umgang mit Daten, vom Erheben über das Speichern bis zum Löschen.
- Auftragsbearbeiter: ein Dienstleister, der Daten im Auftrag bearbeitet, entspricht dem Auftragsverarbeiter der DSGVO.
Die wichtigsten Pflichten
- Informationspflicht: Betroffene müssen bei der Beschaffung ihrer Daten informiert werden.
- Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen.
- Verzeichnis der Bearbeitungstätigkeiten, mit Erleichterungen für kleinere Unternehmen mit geringem Risiko.
- Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko.
- Meldung von Datensicherheitsverletzungen an den EDÖB so rasch als möglich, wenn voraussichtlich ein hohes Risiko besteht.
- Auftragsbearbeitung nur mit Vertrag oder Gesetz, und nur, wenn der Auftragsbearbeiter die Datensicherheit gewährleistet.
- Bekanntgabe ins Ausland nur in Staaten mit angemessenem Schutz oder mit geeigneten Garantien. Die Schweiz anerkennt die EU- und EWR-Staaten als Staaten mit angemessenem Datenschutzniveau.
EDÖB und Bussen
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann Untersuchungen eröffnen und verbindliche Verfügungen erlassen. Bussen verhängt er nicht selbst. Strafbar sind bestimmte vorsätzliche Verstösse, etwa gegen Informations- und Auskunftspflichten, gegen Sorgfaltspflichten bei Auslandsbekanntgabe, Auftragsbearbeitung und Datensicherheit oder gegen die Schweigepflicht. Die Busse beträgt bis CHF 250'000 und trifft die verantwortliche natürliche Person. Nur wenn eine Busse von höchstens CHF 50'000 in Betracht kommt und die Ermittlung der verantwortlichen Person unverhältnismässige Untersuchungsmassnahmen erfordern würde, kann ausnahmsweise stattdessen das Unternehmen zur Bezahlung verurteilt werden (Art. 64 DSG). Die Strafverfolgung liegt bei den Kantonen.
Die wichtigsten Unterschiede zur DSGVO
- Keine allgemeine Rechtsgrundlage nötig: Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage. Das nDSG erlaubt die Bearbeitung grundsätzlich, solange die Grundsätze eingehalten werden. Eine Rechtfertigung braucht es erst, wenn die Persönlichkeit verletzt wird.
- Sanktionen gegen Personen statt Unternehmen: Bussen bis CHF 250'000 gegen Einzelne statt Bussgelder bis 20 Millionen Euro oder 4 % des Umsatzes gegen Unternehmen.
- Datenschutzberater freiwillig: Private Unternehmen müssen keinen benennen.
- Weiterer Begriff besonders schützenswerter Daten: etwa auch Daten über Sozialhilfe oder Strafverfolgung.
Berufsgeheimnis: Art. 321 StGB
Neben dem Datenschutz gilt für bestimmte Berufe das Berufsgeheimnis nach Art. 321 des Schweizer Strafgesetzbuchs. Es erfasst unter anderem Rechtsanwälte, Notare, Patentanwälte, Ärzte, Zahnärzte, Apotheker, Hebammen, Psychologen und Pflegefachpersonen sowie ihre Hilfspersonen. Wer ein Geheimnis offenbart, das ihm in dieser Eigenschaft anvertraut wurde, wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Nicht strafbar ist die Offenbarung mit Einwilligung des Berechtigten oder mit schriftlicher Bewilligung der vorgesetzten Behörde oder Aufsichtsbehörde. Zusätzlich enthält das nDSG selbst eine Strafnorm für die Verletzung der beruflichen Schweigepflicht. Das deutsche Gegenstück erklärt unser Beitrag zu § 203 StGB.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was das nDSG nicht schützt
Wie die DSGVO schützt das nDSG nur Daten, die sich auf eine bestimmte oder bestimmbare Person beziehen. Sind Daten wirklich anonymisiert, ist das Datenschutzrecht nicht mehr anwendbar. Auch das Berufsgeheimnis hängt daran, dass ein Geheimnis einer Person zugeordnet werden kann.
Die Lücke ist dieselbe wie in der EU: Entfernt jemand aus einem Arztbericht oder einer Lohnabrechnung Name, Geburtsdatum und AHV-Nummer, bleiben Diagnose, Medikation oder Lohnhöhe übrig. Solche Datensätze können rechtmässig gebündelt, lizenziert und verkauft werden, etwa an Datenhändler, Versicherer oder KI-Entwickler, wenn die Nutzungsbedingungen eines Dienstes die Weiterverwendung erlauben. Zwei Punkte dazu:
- Pseudonymisiert ist nicht anonymisiert. Ein Code statt eines Namens reicht nicht. Mehr unter Pseudonymisierung und Anonymisierung.
- Wiedererkennung ist billig. Eine Studie in Nature Communications zeigte 2019, dass sich 99,98 % der US-Amerikaner aus 15 Merkmalen wieder identifizieren lassen.
Wie ein einzelnes Dokument diesen Weg nimmt, zeigt Die Datenspur. Die Quellen finden Sie auf Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
Prüfen Sie bei jedem KI-Werkzeug, das Sie in der Schweiz nutzen:
- Auftragsbearbeitung: Gibt es einen Vertrag, und bearbeitet der Anbieter Daten nur in Ihrem Auftrag?
- Standort: In welchem Land werden die Daten bearbeitet, und ist dort ein angemessener Schutz anerkannt?
- Lizenz: Erlauben die Nutzungsbedingungen dem Anbieter, Ihre Inhalte weiterzuverwenden, auch „anonymisiert“?
- Training und Speicherung: Wird mit Ihren Eingaben trainiert? Speichern die angebundenen Modellanbieter etwas?
- Berufsgeheimnis: Wenn Art. 321 StGB für Sie gilt, haben Sie eine Grundlage für die Weitergabe, etwa die Einwilligung Ihrer Klienten? Diese Frage bleibt bei Ihnen.
Wysor ist Auftragsverarbeiter, handelt nur auf Ihre Weisung und hostet Ihre Daten in der EU, deren Datenschutzniveau die Schweiz als angemessen anerkennt. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, auch nicht anonymisiert. Das steht im Vertrag und bindet auch jeden künftigen Eigentümer von Wysor. Die Daten sind bei der Übertragung und im Ruhezustand verschlüsselt, und bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention. Sie arbeiten in einem Arbeitsbereich mit GPT, Claude, Gemini und weiteren Modellen. Mehr zum Einsatz in der Schweiz lesen Sie in unserem Beitrag ChatGPT in der Schweiz.
Häufige Fragen
Seit wann gilt das neue Datenschutzgesetz in der Schweiz? Seit dem 1. September 2023. Es gibt keine allgemeine Übergangsfrist, die Pflichten gelten seither.
Was ist der Unterschied zwischen nDSG und revDSG? Keiner. Beide Abkürzungen meinen das totalrevidierte Datenschutzgesetz. Amtlich heisst es schlicht DSG.
Gilt das nDSG oder die DSGVO für Schweizer Unternehmen? Grundsätzlich das nDSG. Die DSGVO kann zusätzlich gelten, wenn ein Schweizer Unternehmen Menschen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet.
Wie hoch sind die Bussen nach nDSG? Bis CHF 250'000 für bestimmte vorsätzliche Verstösse. Gebüsst wird grundsätzlich die verantwortliche Person, nicht das Unternehmen.
Was regelt Art. 321 StGB? Das Berufsgeheimnis für Anwälte, Notare, Ärzte, Apotheker, Psychologen und weitere Berufe sowie ihre Hilfspersonen. Die Verletzung wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.
Weiterlesen
- ChatGPT in der Schweiz. KI datenschutzkonform nach revDSG nutzen.
- Was ist die DSGVO?. Das EU-Gegenstück einfach erklärt.
- § 203 StGB einfach erklärt. Die Schweigepflicht in Deutschland.
- Legal verkäuflich. Die Quellen hinter dem Datenmarkt.
Fragen zum nDSG oder zum Einsatz von Wysor in der Schweiz? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
