Wirteverband Basel-Stadt

Verschärfung des EU-Datenschutzrechts

Auswirkungen auf Betriebe in der Schweiz

Die EU hat ihr Datenschutzrecht drastisch verschärft. Obwohl dieses in der Schweiz nicht direkt anwendbar ist, werden insbesondere Schweizer Unternehmen, die ihre Dienstleistungen EU-Bürgern anbieten, betroffen.

Die neue EU-Datenschutzverordnung gilt primär für Datenverarbeitungen, die in der EU erfolgen. Eine Anwendung ist zudem vorgesehen, wenn in der EU eine Niederlassung besteht. Das «Marktortprinzip» sorgt aber auch für die Anwendung auf Unternehmen ausserhalb der EU, die ihr Angebot auf den europäischen Markt und an EU-Bürger richten.

Es sind also auch Schweizer Unternehmen ohne jegliche Niederlassung in der EU betroffen. Wo genau die Grenze eines «Angebots von Waren oder Dienstleistungen an EU-Kunden» liegt, ist noch nicht klar zu bestimmen. Es ist davon auszugehen, dass beispielsweise eine Hotelwebsite, auf welcher Kunden die Sprache ihres EU-Herkunftslandes auswählen und in ihrer Währung zahlen können, grundsätzlich unter die Bestimmung fällt.

Gemäss EU-Datenschutzverordnung ist eine Datenbearbeitung nur zulässig, wenn man eine Erlaubnis hat. Eine solche kann sich unter anderem aus der Einwilligung der betroffenen Person, dem Vollzug eines Vertrags oder der Erfüllung gesetzlicher Pflichten (Hotelmeldeschein) heraus ergeben.

Liegt eine Erlaubnis vor, müssen Grundprinzipien eingehalten werden. Diese bestehen bereits auch im Schweizer Recht, werden nun aber in der EU verschärft. Es handelt sich insbesondere um die Zweckbindung der Datenbearbeitung, die Transparenz gegenüber den Betroffenen, die Datenminimierung und die Begrenzung der Datenaufbewahrung bis zu dem Zeitpunkt, an dem der angegebene Zweck erfüllt ist.

Den Personen, die von einer Datenverarbeitung betroffen sind, kommen umfangreiche Rechte zu. So müssen sie als Grundsatz jederzeit nachvollziehen können, welche Daten in welcher Art und Weise über sie bearbeitet wurden. Entsprechend steht ihnen ein Auskunftsrecht über die sie betreffenden Daten zu. Sie dürfen die Berichtigung unrichtiger Daten fordern und können sogar deren Löschung verlangen.

Nebst den Grundprinzipien existieren weitere neue Pflichten, die im Rahmen einer Datenbearbeitung wahrzunehmen sind. So muss die im Unternehmen für die Datenbearbeitung verantwortliche Person ein Verzeichnis der relevanten Datenbearbeitungen führen, inklusive Angaben über Zweck und Art der Daten sowie der Darlegung allfälliger besonderer Risiken.

Weiter muss explizit die Einhaltung der Datenverarbeitungsgrundsätze nachgewiesen werden können und die Datenbearbeitung so ausgestaltet werden, dass die datenschutzfreundlichen Einstellungen als Standard eingestellt sind und die Ausübung der Betroffenenrechte jederzeit sichergestellt ist.

Es muss auch gewährleistet werden, dass Verstösse gegen die Verordnung unter gewissen Umständen gemeldet und die entsprechenden internen Prozesse dazu festgelegt werden. Gewisse Unternehmen, welche intensiv Daten verarbeiten und keine Niederlassung in der EU haben (gemeint sind hier wohl eher Unternehmen in der Kategorie von Facebook), müssen einen Vertreter in der EU angeben, welcher für die Einhaltung der Verordnung besorgt ist.

Die neue Verordnung sieht bei Verstoss eine Geldstrafe bis zu einer Obergrenze von 20 Millionen Euro oder 4% des Jahresumsatzes des Unternehmens vor (diese maximale Sanktion ist offensichtlich auf Grossunternehmen wie Google ausgerichtet). Inwiefern der Strafrahmen ausgeschöpft wird, lässt sich momentan noch nicht abschätzen. Äusserst fraglich scheint zudem, ob diese Geldbussen in der Schweiz vollzogen werden können. Je nachdem müssen Unternehmen aber auch mit Sanktionen rechnen, die ihre Tätigkeiten in der EU betreffen.

• Datenschutz von Hotelgästen soll gesetzlich geregelt werden
• Oberster Datenschützer kritisiert Gastronomiebetriebe
• Stellenmeldepflicht mit absurden Folgen