Die am 1. September 2023 in Kraft getretene Totalrevision der schweizerischen Datenschutzgesetzgebung hat die Bearbeitung persönlicher Informationen tiefgreifend modernisiert.
Diese grosse Reform soll das schweizerische Recht an die technologischen und digitalen Entwicklungen anpassen und es zugleich an die europäischen Standards angleichen, um den freien Datenverkehr zu gewährleisten und die informationelle Souveränität der Einzelnen zu stärken.
Die Neuausrichtung des Anwendungsbereichs und die neuen Governance-Anforderungen
Der neue gesetzliche Rahmen verändert die Grundlagen des Datenschutzrechts und auferlegt den Unternehmen neue organisatorische Pflichten:
- Schutz, der sich allein auf natürliche Personen richtet: Die revidierte Gesetzgebung hat juristische Personen ausdrücklich von ihrem Anwendungsbereich ausgeschlossen und schützt nur noch die Daten lebender natürlicher Personen. Sie gleicht die Schweiz den internationalen Standards an und erleichtert grenzüberschreitende Datenflüsse. Unternehmensdaten bleiben dem Zivilrecht oder dem Recht gegen den unlauteren Wettbewerb unterstellt.
- Verstärkte Governance und technische Verantwortung: Stellen, die Daten bearbeiten, müssen den Schutz nun von der technischen Konzeption der Software an und durch datenschutzfreundliche Voreinstellungen einbauen, gegebenenfalls einen Datenschutzberater bezeichnen, bei hohen Risiken vorgängig eine Folgenabschätzung durchführen (namentlich bei der umfangreichen Bearbeitung besonders schützenswerter Daten) und Sicherheitsvorfälle rasch melden.
Die Stärkung der individuellen Rechte und die Befugnisse der Aufsichtsbehörde
Die Reform verleiht den Betroffenen deutlichere Rechte und modernisiert die staatliche Aufsicht:
- Erweiterte Rechte der betroffenen Personen: Die Transparenz wird verstärkt durch eine erweiterte Informationspflicht bei der Beschaffung, ein gestärktes Auskunftsrecht, das die Kenntnis sämtlicher vorhandener Daten und ihres Zwecks erlaubt, sowie ein Recht auf Berichtigung, Löschung oder digitale Portabilität der Daten.
- Verstärkte Rolle des Eidgenössischen Beauftragten und Sanktionen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte kann nun von Amtes wegen Verwaltungsverfahren eröffnen, verbindliche Korrekturmassnahmen anordnen und die Sistierung oder Einstellung unrechtmässiger Bearbeitungen verlangen. Das Bundesrecht sieht zudem direkte Strafen gegen die verantwortlichen natürlichen Personen vor, wenn sie ihre gesetzlichen Pflichten vorsätzlich verletzen.
Dieser schweizerische Rahmen ist das Gegenstück zur Überlegung, die für die Kanzleien in der Nutzung einer juristischen KI und der DSGVO angestellt wird.
Rechtsquellen
Bundesgesetzgebung:
- Art. 4 DSGundArt. 58 DSG (Aufsicht, Befugnisse und Aufgaben des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten)
- Art. 7 DSG (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen)
- Art. 10 DSGundArt. 23 DSV (Stellung, Befugnisse und Bezeichnung des Datenschutzberaters)
- Art. 22 DSG (Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung bei hohem Risiko)
Bundesrechtsprechung:
- Urteil des Bundesverwaltungsgerichts A-5608/2023 (Inkrafttreten der Totalrevision des DSG am 1. September 2023, ausdrücklicher Ausschluss juristischer Personen vom Anwendungsbereich und Angleichung an das europäische Recht)
- Urteil des Bundesverwaltungsgerichts A-8391/2025 (Untersuchungsbefugnisse und Ermessensspielraum des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten unter dem revidierten DSG)