Das revidierte Schweizer Datenschutzgesetz (revDSG) hat Diskussionen über den Datenschutz in der Schweiz und seine Auswirkungen auf Unternehmen ausgelöst – besonders im Zeitalter der Digitalisierung. Damit du dich in den Feinheiten dieses Gesetzes zurechtfindest, habe ich einen umfassenden Leitfaden zusammengestellt.
Einführung ins revDSG
Das revDSG ist ein Schweizer Gesetz, das den Schutz personenbezogener Daten stärken soll. Es kommt zu einer Zeit, in der digitale Transformationen rasant voranschreiten und Datenschutz zu einem drängenden Thema geworden ist. Das Gesetz zielt darauf ab, die Schweizer Datenschutzstandards an die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union anzugleichen.
Das EU-U.S. Data Privacy Framework und seine Auswirkungen
Am 10. Juli 2023 hat die Europäische Kommission das EU-U.S. Data Privacy Framework (DPF) geschaffen – eine entscheidende Entwicklung für internationale Datentransfers.
Das DPF dient als Mechanismus, um einen angemessenen Datenschutz sicherzustellen, wenn private oder öffentliche Stellen in der EU und im Europäischen Wirtschaftsraum (EWR) personenbezogene Daten an US-Unternehmen weitergeben, die Teil des Frameworks sind.
Die Einführung des EU-U.S. DPF war kein leichter Weg. Es war der dritte Versuch der EU- und US-Behörden, die transatlantische Weitergabe personenbezogener Daten zu ermöglichen. Der Gerichtshof der Europäischen Union (EuGH) hatte die vorherigen Versuche – das Safe-Harbor-Abkommen und den Privacy Shield – für ungültig erklärt, woraus das EU-U.S. DPF hervorging.
Das EU-U.S. DPF stützt sich zudem auf die US-Executive Order 14086 (EO 14086), die Präsident Biden am 7. Oktober 2022 unterzeichnet hat. Diese Verordnung legt Schutzvorkehrungen für die nachrichtendienstlichen Aktivitäten der USA fest und richtet sie an europäischen Rechtsgrundsätzen aus – darunter Verhältnismässigkeit, Aufsicht und wirksamer Rechtsschutz für betroffene Personen.
Unternehmen unter dem EU-U.S. DPF müssen bestimmte Datenschutzgrundsätze einhalten, die das US-Handelsministerium festgelegt hat. Diese Grundsätze sollen ein angemessenes Datenschutzniveau erreichen, das der Verarbeitung personenbezogener Daten entspricht, die von Datenexporteur:innen in der EU und im EWR stammen.
Die Auswirkungen des EU-U.S. DPF auf Datenexporte in die USA
Mit der Genehmigung des DPF durch die EU-Kommission können Datenexporteur:innen personenbezogene Daten aus der EU und dem EWR an zertifizierte US-Unternehmen unter dem DPF übermitteln, ohne zusätzliche Schutzmassnahmen. Unternehmen sollten jedoch abwägen, ob sie ihre Datenweitergaben angesichts der ungewissen Zukunft des DPF vollständig darauf umstellen.
Schweizer Unternehmen und das EU-U.S. DPF
Schweizer Unternehmen können vom EU-U.S. DPF nur eingeschränkt profitieren, da es Datenexporteur:innen in der Schweiz, die personenbezogene Daten an zertifizierte Unternehmen in den USA weitergeben, nicht abdeckt. Damit Schweizer Datenexporteur:innen personenbezogene Daten rechtmässig an Empfänger:innen in den USA weitergeben können, müssen sie sich auf gesetzliche Ausnahmen stützen oder alternative Schutzmassnahmen umsetzen, die ein angemessenes Datenschutzniveau gewährleisten – etwa die EU-Standardvertragsklauseln (SCC), auch bekannt als Auftragsverarbeitungsverträge (AVV).
Das geplante Swiss-U.S. Data Privacy Framework
Die Schweiz befindet sich derzeit in Diskussionen über ein «Swiss-U.S. Data Privacy Framework». Dieses Framework soll die Einschränkungen des EU-U.S. DPF für Schweizer Unternehmen beheben. Bis zu seiner Verabschiedung müssen sich Schweizer Unternehmen gedulden und die USA weiterhin als Land ohne angemessenes Datenschutzniveau betrachten.
Überlegungen für Schweizer Unternehmen
Schweizer Unternehmen sollten die USA weiterhin als Land ohne angemessene Datenschutzgesetze betrachten, bis das Swiss-U.S. Data Privacy Framework verabschiedet ist.
Ist ein US-Unternehmen jedoch unter dem EU-U.S. DPF zertifiziert, kann das als zusätzliche Schutzebene betrachtet werden.
EU-U.S. Data Privacy Framework: das Wichtigste in Kürze
Das Inkrafttreten des EU-U.S. DPF
Das EU-U.S. DPF ist derzeit in Kraft. Der zugehörige Angemessenheitsbeschluss trat unmittelbar mit seiner Verabschiedung am 10. Juli 2023 in Kraft.
Was ist neu am EU-U.S. DPF?
Das EU-U.S. DPF führt mehrere Rechte für betroffene Personen ein, darunter den Zugang zu ihren Daten sowie die Berichtigung oder Löschung unrichtig oder unrechtmässig verarbeiteter Daten. Es schafft eine Reihe von Rechtsbehelfen für den Fall, dass personenbezogene Daten entgegen den Grundsätzen des EU-U.S. DPF verarbeitet werden – darunter einen kostenlosen, unabhängigen Streitbeilegungsmechanismus und ein Schiedsgremium.
So prüfst du, ob ein US-Unternehmen unter dem EU-U.S. DPF zertifiziert ist
Das US-Handelsministerium führt eine Liste von US-Unternehmen, die sich selbst zertifiziert und ihre Verpflichtung erklärt haben, die Grundsätze des EU-U.S. DPF einzuhalten. Diese Liste hilft Datenexporteur:innen, die Zertifizierung eines US-Unternehmens zu überprüfen.
Folgen einer Streichung von der Data-Privacy-Framework-Liste
Wird ein Unternehmen von der Data-Privacy-Framework-Liste gestrichen, profitiert es nicht mehr vom Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. DPF. Folglich können europäische Datenexporteur:innen personenbezogene Daten nicht ohne zusätzliche Schutzmassnahmen an diese US-Unternehmen übermitteln – etwa einen speziellen AVV, der einen angemessenen Schutz nach der DSGVO garantiert.
Fazit
Die Welt des Datenschutzes entwickelt sich laufend weiter. Mit der Einführung des revDSG und des EU-U.S. DPF müssen Schweizer Unternehmen eine komplexe Landschaft navigieren. Während sie das Swiss-U.S. Data Privacy Framework erwarten, müssen sie informiert bleiben und sich an diese Veränderungen anpassen, um den Übergang reibungsloser zu gestalten.
Letztlich geht es darum, dass personenbezogene Daten mit grösster Sorgfalt behandelt werden – die Privatsphäre wird respektiert und das Vertrauen in diesem digitalen Zeitalter gefördert.