Data Protection Officer: Was ist in der Schweiz zukünftig zu tun?
Carmen de la Cruz Böhringer
RA lic. iur., Notarin, eidg. dipl. Wirtschaftsinformatikerin, spezialisiert in IT-Recht und Partnerin bei LEXcellence AG.
Passende Arbeitshilfen
Der Data Protection Officer (DPO) gemäss revDSG
Art. 9 rev DSG gibt privaten Unternehmen ausdrücklich das Recht, einen Datenschutzberater einzusetzen. Der Datenschutzberater soll innerhalb des Unternehmens Anlaufstelle für Datenschutzfragen sein und gegen aussen auch erste Kontaktstelle für Datenschutzbelange insbesondere seitens der Behörden.
Die Vorteile einer solchen Einsetzung finden sich allem voran im Rahmen Datenschutz-Folgenabschätzung. Damit also beurteilt werden kann, ob ein Unternehmen im Einzelfall von einer Einsetzung eines Datenschutzberaters profitieren würde, ist es unerlässlich, zuerst auf die Bedeutung der Datenschutz-Folgenabschätzung einzugehen.
Eine Datenschutzfolgeabschätzung ist durch den Verantwortlichen (Unternehmen, welches über Zweck und Mittel der Datenbearbeitung entscheidet) immer dann vorzunehmen, wenn die Bearbeitung «ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person» haben könnte (vgl. Art. 20 REVDSG). Das «hohe Risiko» ergibt sich aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung wie z.B. die Nutzung von Microsoft365 insbesondere bei einer grösseren Anzahl Nutzern. Explizit genannt werden in diesem Zusammenhang:
- Die umfangreiche Bearbeitung besonders schützenswerter Personendaten; damit gemeint sind Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, Daten über die Gesundheit und Intimsphäre, Ethnische Daten, genetische Daten, biometrische Daten, Daten betreffend verwaltungs- oder strafrechtlicher Verfolgung und Daten der Sozialhilfe (vgl. auch Art. 4 lit. C revDSG)
- Das Profiling (vgl. Art. 4 lit. F revDSG)
- Die systematische und umfangreiche Überwachung öffentlicher Bereiche
Für Schweizer Unternehmen heisst das, es ist immer dann eine Datenschutz-Folgenabschätzung vorzunehmen, wenn einer der drei oben genannten Faktoren durch die Datenbearbeitung erfasst wird. Im Rahmen dieser Datenschutz-Folgenabschätzung muss das Unternehmen die geplante Bearbeitung beschreiben und die Risiken für die betroffenen Personen bewerten. Ergibt sich daraus, dass durch die Datenbearbeitung für die betroffenen Personen ohne weitere Massnahmen ein «hohes Risiko» entsteht, so hat das verantwortliche Unternehmen vorgängig eine Stellungnahme des eidgenössichen Datenschutzbeauftragten (EDÖB) einzuholen (vgl. auch Art. 23 revDSG). Der EDÖB teilt dem verantwortlichen Unternehmen sodann seine Einwände mit und schlägt allfällige Massnahmen vor.
Auf eine Einschätzung durch den EDÖB kann aber gemäss Art. 21 Abs. 4 revDSG verzichtet werden, wenn das verantwortliche Unternehmen stattdessen einen Datenschutzberater / eine Datenschutzberaterin konsultiert hat. Die Funktion des Datenschutzberaters ist an gewisse Voraussetzungen gebunden (vgl. Art. 9 Abs. 4 revDSG). Allem voran muss es sich um einen unabhängigen Datenschutzberater handeln (keine Weisungsgebundenheit), ausserdem darf der Datenschutzberater keine anderen Tätigkeiten ausüben, die nicht vereinbar sind mit seiner Aufgabe als Datenschutzberater. Weiter zu nennen sind die notwendigen Fachkenntnisse und die Verpflichtung des verantwortlichen Unternehmens die Kontaktdaten des Datenschutzberaters dem Datenbeauftragten des Bundes zu übermitteln.
Checkliste Voraussetzungen für die korrekte Ernennung eines Datenschutzberaters in der Schweiz
– Die Datenschutz-Folgenschätzung ergibt, dass durch die Datenbearbeitung ein hohes Risiko für die betroffene Person entsteht
– Unabhängiger Datenschutzberater
– Keine Interessenskonflikte des Datenschutzberaters
– Datenschutzberater verfügt über die notwendigen Fachkenntnisse
– Kontaktdaten des Datenschutzberaters sind an Datenschutzbeauftragten des Bundes übermittelt worden
Jetzt weiterlesen mit 
- Unlimitierter Zugriff auf über 1100 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Täglich aktualisiert
- Wöchentlich neue Beiträge und Arbeitshilfen
- Exklusive Spezialangebote
- Seminargutscheine
- Einladungen für Live-Webinare
