DSGVO: Konformität mit der EU-Datenschutz-Grundverordnung

Die neue Verordnung hat weitreichende Auswirkungen auf Unternehmen. Ab einer Firmengrösse von 250 Mitarbeitern, oder wenn ein Unternehmen systematisch mit Personendaten arbeitet, muss ein Datenschutzbeauftragter bestimmt werden. Das sieht das Schweizer Datenschutzgesetz (DSG), das gerade revidiert wird, noch nicht vor. Diese Stelle rapportiert entdeckte Cyberattacken direkt an die Geschäftsleitung, muss aber unabhängig genug sein, um unverzüglich Meldung an die Behörden zu erstatten, falls es zu einer Datenschutzverletzung kommt. Nicht zu unterschätzen sind auch innere Bedrohungen wie Datendiebstahl oder Missbrauch, die durch eigene Mitarbeitende und Lieferanten verursacht werden können.

• Ohne eine explizite oder implizite Kundenzustimmung ist es nicht erlaubt, persönliche Daten für Geschäftsprozesse wie z.B. Marketing zu verwenden.
• Natürliche Personen (Kunden, interne und externe Mitarbeitende) haben das Recht, Informationen darüber zu erhalten, welche persönlichen Daten gespeichert und wozu diese verwendet werden.
• Natürliche Personen haben das Recht, die Löschung ihrer Daten zu verlangen. Eine Archivierung der Daten genügt nicht. Die Löschung umfasst alle Stammdaten der betroffenen Person, inkl. aller Kopien und Reproduktionen dieser (transaktionalen) Daten.
• Die DSGVO gilt auch für Firmen, die selbst nicht in der EU ansässig sind, jedoch ihrerseits Kunden in der EU beliefern.
• Die DSGVO setzt geltendes schweizerisches Recht nicht ausser Kraft. Die jeweiligen Landesregelungen in Bezug auf die Aufbewahrungspflichten von Rechnungen oder anderen Dokumenten gelten weiterhin.