Der Bundesrat hat das Eidgen\u00f6ssische Justiz- und Polizeidepartement (EJPD) beauftragt, ihm bis Ende August 2016 einen Vorentwurf f\u00fcr eine Revision des Bundesgesetzes \u00fcber den Datenschutz (DSG) zu unterbreiten. Dieser soll auch die Datenschutzreformen beim Europarat und der Europ\u00e4ischen Union ber\u00fccksichtigen. Um die Auswirkungen der Revision absch\u00e4tzen zu k\u00f6nnen, hat das Beratungsunternehmen PricewaterhouseCoopers in Zusammenarbeit mit B,S,S. Volkswirtschaftliche Beratung f\u00fcr das EJPD und das Staatssekretariat f\u00fcr Wirtschaft (Seco) eine vertiefte Regulierungsfolgenabsch\u00e4tzung (RFA) vorgenommen. Es wurden eine Analyse der relevanten Literatur, eine Befragung verschiedener Unternehmen und Gespr\u00e4che mit Fachpersonen durchgef\u00fchrt. <\/p>\n
Der Bundesrat hat das Eidgen\u00f6ssische Justiz- und Polizeidepartement (EJPD) beauftragt, ihm bis Ende August 2016 einen Vorentwurf f\u00fcr eine Revision des Bundesgesetzes \u00fcber den Datenschutz (DSG) zu unterbreiten. Dieser soll auch die Datenschutzreformen beim Europarat und der Europ\u00e4ischen Union ber\u00fccksichtigen. Um die Auswirkungen der Revision absch\u00e4tzen zu k\u00f6nnen, hat das Beratungsunternehmen PricewaterhouseCoopers in Zusammenarbeit mit […]<\/p>","protected":false},"author":4462,"featured_media":27868,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"om_disable_all_campaigns":false,"ep_exclude_from_search":false,"footnotes":""},"post__type":[69,66],"post_opinion":[],"post_serie":[],"post_content_category":[],"post_content_subject":[230],"acf":{"seco_author":4462,"seco_co_author":[4463,0],"author_override":"","seco_author_post_ocupation_year":"","seco_author_post_occupation_de":"Leiterin Legal Compliance Switzerland,\nPricewaterhouseCoopers, Z\u00fcrich","seco_author_post_occupation_fr":"Responsable Legal Compliance Switzerland, PricewaterhouseCoopers, Zurich","seco_co_authors_post_ocupation":[{"seco_co_author":4463,"seco_co_author_post_occupation_year":"","seco_co_author_post_occupation_de":"Mitarbeiter Legal Compliance, PricewaterhouseCoopers, Basel","seco_co_author_post_occupation_fr":"Collaborateur Legal Compliance, PricewaterhouseCoopers, B\u00e2le"}],"short_title":"Folgen der Datenschutzrevision f\u00fcr die Unternehmen","post_lead":"Eine Regulierungsfolgenabsch\u00e4tzung zeigt, dass die Revision des Datenschutzgesetzes die Rechte der betroffenen Personen st\u00e4rken kann. Wie hoch der Umsetzungsaufwand sein wird und ob es f\u00fcr Schweizer Unternehmen zu Wettbewerbsnachteilen im Ausland kommt, h\u00e4ngt stark von der k\u00fcnftigen Ausgestaltung ab.","post_hero_image_description":"Patientendossiers mit sensiblen Daten sind heute meist digital abgespeichert. Spit\u00e4ler und Arztpraxen sind daher von einer Revision st\u00e4rker betroffen.","post_hero_image_description_copyright_de":"Keystone","post_hero_image_description_copyright_fr":"","post_references_literature":"","post_kasten":[{"kasten_title":"Der erwartete Nutzen und die Kosten der Revision im \u00dcberblick","kasten_box":"
\nF\u00fcr die RFA wurde die geplante Neuregelung mit dem gegenw\u00e4rtigen Datenschutzgesetz verglichen. F\u00fcr die Neuregelung st\u00fctzte man sich auf einen Bericht der Begleitgruppe Revision Datenschutzgesetz von Oktober 2014 (\u00abNormkonzept\u00bb).[1]<\/a> Dieser stellt die wesentlichen Ziele der Revision dar, enth\u00e4lt aber noch keine konkret ausformulierten Gesetzesartikel, so wie sie im zu erwartenden Gesetzesentwurf enthalten sein werden.
\n
\nDie untersuchten Massnahmen betreffen die Informationspflichten der Unternehmen als Datenbearbeiter gegen\u00fcber den betroffenen Personen, Regelungen zur Datenherrschaft und zur unternehmensinternen Datenschutzorganisation sowie den grenz\u00fcberschreitenden Datenverkehr. Auch die Regeln zur \u00abguten Praxis\u00bb, die alternative Streitbeilegung, die Datenschutzaufsichtsbeh\u00f6rde, die kollektive Rechtsdurchsetzung und den Geltungsbereich des Datenschutzgesetzes hat die RFA untersucht. <\/a>
\n
\nDie mit der Revision beabsichtigten \u00c4nderungen betreffen s\u00e4mtliche in der Schweiz t\u00e4tigen Unternehmen. Denn wer Daten bearbeitet, untersteht dem Datenschutzgesetz. Die Unternehmen standen daher im Vordergrund dieser RFA. Wie intensiv sie allerdings betroffen sind, h\u00e4ngt von diversen Faktoren ab, insbesondere von der Art und der Menge der gesammelten Daten und in welcher Weise sie Daten bearbeiten. F\u00fcr die RFA wurden die schweizerischen Unternehmen daher nach ihrer datenschutzrechtlichen Exponierung segmentiert und durch die Branche und die Gr\u00f6sse operationalisiert.
\n
\nRund 335\u2019000 oder 55,1 Prozent der relevanten Unternehmen[2]<\/a> sind kleine, vorwiegend lokal t\u00e4tige Firmen, ohne Auslandsbezug, die keine anderen Daten bearbeiten als Kunden-, Lieferanten- und Mitarbeiterdaten. Beispiele sind die lokale Metzgerei oder Schreinerei (Segment A). Rund 265\u2019000 oder 43,5 Prozent machen Unternehmen aus, die innerhalb der Schweiz und auch international mittels Einsatz von Web-IT-Technologien oder Cloud-Dienstleistungen die Kundendaten etwa f\u00fcr Marketing oder Marktanalysen bearbeiten. In diese Gruppe fallen einerseits alle kleinen und mittleren Unternehmen, welche ihre Kundenkontakte prim\u00e4r \u00fcber elektronische Kan\u00e4le vollziehen. Andererseits geh\u00f6ren auch alle grossen Unternehmen dazu und Unternehmen, die mit vielen sensitiven Personendaten arbeiten. Beispiele sind Internetversandh\u00e4ndler, Banken, Arztpraxen, Anw\u00e4lte und grosse Detailh\u00e4ndler (Segment B). Vergleichsweise gering ist der Anteil der Unternehmen, deren Kerngesch\u00e4ft die Datenbearbeitung ist und die ihr Geld im Wesentlichen mit Daten verdienen, wie beispielsweise Big-Data- und Cloud-Dienstleister, Profiler oder Web-2.0-Firmen (Segment C). Dies trifft auf rund 8000 kleine bis grosse Unternehmen zu (1,4%).
\n
\nF\u00fcr jedes Unternehmen ist das bislang erreichte datenschutzrechtliche Niveau ausschlaggebend daf\u00fcr, welche Auswirkungen die Datenschutzrevision mit sich bringen wird. Unternehmen, die dem Thema Datenschutz bereits heute entsprechende Aufmerksamkeit widmen und entsprechende Standards erreicht haben, werden die geplanten Massnahmen mit verh\u00e4ltnism\u00e4ssig geringerem Aufwand umsetzen k\u00f6nnen. Vor dem Hintergrund, dass mit der Revision die Durchsetzung datenschutzrechtlicher Vorgaben gest\u00e4rkt wird, ist es m\u00f6glich, dass Unternehmen mit geringerem Datenschutzniveau dem Thema nun mehr Relevanz beimessen.
\n
\nAnzumerken ist, dass die Daten aus der elektronisch durchgef\u00fchrten Unternehmensbefragung quantitativ und qualitativ unzureichend waren; auf eine gesamtwirtschaftliche Hochrechnung der Auswirkungen auf Unternehmen musste daher verzichtet werden. Die Gr\u00fcnde des unzureichenden Datenr\u00fccklaufs liegen zun\u00e4chst in der Komplexit\u00e4t des zu revidierenden Datenschutzgesetzes. Zudem scheint die Sensibilit\u00e4t der Mehrheit der schweizerischen Unternehmen betreffend Datenschutz eher gering zu sein. Dies gilt nicht nur bez\u00fcglich der Revision, sondern auch hinsichtlich der heute bereits geltenden Rechtslage.
<\/p>\nKosten bei Informationspflichten und Datenherrschaft<\/h2>\n
\nDie Unternehmen des Segments A werden nur von wenigen Handlungspflichten tangiert. Deshalb werden sie durch die Revision auch vergleichsweise gering belastet. Allerdings haben einige Fachpersonen im Rahmen der Fachgespr\u00e4che vorgebracht, dass kleinere und mittlere Unternehmen (KMU) bei gleicher Datenbearbeitungst\u00e4tigkeit st\u00e4rker von den datenschutzrechtlichen Verpflichtungen betroffen sind als grosse Unternehmen. Denn ihnen fehle heute tendenziell die notwendige Compliance-Infrastruktur, welche im Verh\u00e4ltnis zu grossen Unternehmen zudem teurer sei. Eine wesentliche Belastung f\u00fcr das Segment A wird aufgrund der erweiterten Informationspflichten<\/em> erwartet. Die Unternehmen m\u00fcssen dabei die betroffenen Personen aktiv dar\u00fcber informieren, dass sie Personendaten beschaffen und was der Zweck davon ist. Wie sie dies tun m\u00fcssen, ist noch offen. Auch eine generelle Form mittels allgemeiner Gesch\u00e4ftsbedingungen wird diskutiert. Mehrheitlich wird diese Handlungspflicht von den Fachpersonen als nicht besonders kostenintensiv erachtet, vorausgesetzt, die Unternehmen k\u00f6nnen mittels genereller Erkl\u00e4rung auf ihrer Website oder mit AGB informieren. Die Kosten werden allerdings betr\u00e4chtlich, wenn jede Person einzeln informiert werden muss.
\n
\nZus\u00e4tzlich soll neu auch dar\u00fcber informiert werden, wie die Daten bearbeitet werden. Zum Beispiel hat eine Person neu das Recht auf Auskunft, durch welche Angaben und Mechanismen es zu einer gewissen Bonit\u00e4tseinsch\u00e4tzung von Banken oder Ratingagenturen gekommen ist. Wie hoch die Kosten sind, dar\u00fcber sind sich die Fachpersonen uneinig. Auch hier h\u00e4ngen die Auswirkungen von der Ausgestaltung der Auskunftspflicht ab. Zudem k\u00f6nnen die Unternehmen durch die Pflicht zur Berichtigung oder L\u00f6schung von Daten stark belastet werden (aufgrund der sogenannten Datenherrschaft): Verlangt eine Person von einem Unternehmen die eigenen Daten zu berichtigen oder gar zu l\u00f6schen, muss das Unternehmen daf\u00fcr sorgen, dass die betroffenen Daten nicht nur bei ihm, sondern auch bei allen anderen Unternehmen berichtigt werden, an die es die Daten weitergegeben hat. Ein solcher Prozess kann bei den Unternehmen aller Segmente einen erheblichen Aufwand bewirken. Betroffen sind allerdings nur Firmen, die Daten an Dritte weitergeben.
\n
\nDie Unternehmen der Segmente B und C sind gegen\u00fcber den Unternehmen des Segments A vergleichsweise stark betroffen. Entscheidend wird auch hier sein, wie der Gesetzgeber die im Normkonzept enthaltenen Absichten, welche Basis f\u00fcr diese RFA waren, im Gesetzesentwurf umsetzen wird. Stark betroffen werden die datenexponierten Segmente B und C von der oben beschriebenen Massnahme zur Datenherrschaft sein. Die Erf\u00fcllung dieser Pflicht innerhalb des Unternehmens kann mit den heutigen Kosten verglichen werden. Hingegen kann die Pflicht, sicherzustellen, dass auch s\u00e4mtliche weiteren Unternehmen die erhaltenen Daten berichtigen oder l\u00f6schen, zu exorbitanten Kosten f\u00fchren.
<\/p>\nMehr Rechte bedeuten weniger Gratisdienstleistungen<\/h2>\n
\nWie bereits das aktuelle sieht auch das revidierte Datenschutzgesetz gegen\u00fcber den Personen, deren Daten bearbeitet werden, keine Verpflichtungen, sondern vielmehr eine St\u00e4rkung vor. Die befragten Fachpersonen gehen davon aus, dass die geplanten Massnahmen geeignet sind, die betroffenen Personen zumindest formal dabei zu unterst\u00fctzen, ihre informationellen Selbstbestimmungsrechte besser aus\u00fcben zu k\u00f6nnen. Dazu dienen verbesserte Auskunftsrechte gegen\u00fcber datenbearbeitenden Unternehmen, erh\u00f6hte Transparenz und Nachvollziehbarkeit beispielsweise in Bezug auf Methoden der Datenbearbeitung und Datenauswertung, das neu vorgesehene Recht, die eigenen Daten von einem Ort oder Dienst zu einem anderen zu bewegen (Datenportabilit\u00e4t), sowie die ausgebauten Durchsetzungsm\u00f6glichkeiten datenschutzrechtlicher Anspr\u00fcche.
\n
\nInwieweit die betroffenen Personen k\u00fcnftig aus den Neuerungen konkret Nutzen ziehen, wird vor allem davon abh\u00e4ngen, welche Bedeutung die Individuen dem Schutz der eigenen Daten beimessen. In diesem Zusammenhang k\u00f6nnen datenschutzfreundliche Voreinstellungen (Privacy by Default<\/em>) zu einem wichtigen Instrument des Datenschutzes werden. Demgegen\u00fcber ist damit zu rechnen, dass Unternehmen folglich weniger Daten sammeln und bearbeiten k\u00f6nnen und weniger unentgeltliche Dienstleistungen wie beispielsweise Gratis-E-Mail-Dienste anbieten.
<\/p>\nMarktzugang im Ausland bewahren<\/h2>\n
\nDie Gespr\u00e4che mit den Fachpersonen zu den <\/a>Auswirkungen auf die Gesamtwirtschaft fokussierten vor allem auf das Thema Wettbewerb. Auf internationaler Ebene k\u00f6nnten f\u00fcr die Schweiz aus zwei Gr\u00fcnden gravierende Wettbewerbsnachteile resultieren: einerseits, wenn die Schweiz aus Sicht der EU den Status eines Landes mit ad\u00e4quatem Datenschutzniveau verlieren w\u00fcrde, und andererseits, wenn Datenschutzregelungen nur in der Schweiz gelten w\u00fcrden oder restriktiver w\u00e4ren als in der EU und so zu Mehrkosten f\u00fchren w\u00fcrden.
\n
\nInnerhalb der Schweiz werden die vorgesehenen Verpflichtungen mehrheitlich als wettbewerbsneutral eingestuft, da alle Unternehmen des gleichen Segments gleich betroffen sind. Demgegen\u00fcber blieb in der RFA noch unklar, inwieweit der gest\u00e4rkte Datenschutz insgesamt zu einem Wettbewerbsvorteil f\u00fcr ein einzelnes Unternehmen f\u00fchren k\u00f6nnte. Einige Fachpersonen vermuten denn auch, der verbesserte Datenschutz k\u00f6nnte das Vertrauen der Privatpersonen erh\u00f6hen und in der Folge zu einer gesteigerten Bereitschaft f\u00fchren, Daten preiszugeben.<\/p>\nNutzen:<\/h6>
\n
\n \t
Kosten:<\/h6>
\n
\n \t