Regelwerk · nDSG – Schweizer Datenschutzgesetz und Datenschutzverordnung
nDSG: Schweizer Datenschutz ohne Rätselraten
Kunden, Nutzer oder Beschäftigte in der Schweiz? Dann gilt das revidierte DSG, auch mit Sitz im Ausland. Complass zeigt, was Sie aus der DSGVO übernehmen und was die Schweiz zusätzlich verlangt.
Was regelt das nDSG?
Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) gilt in totalrevidierter Fassung seit dem 1. September 2023, zusammen mit der Datenschutzverordnung (DSV, SR 235.11). Es schützt die Persönlichkeit natürlicher Personen bei der Bearbeitung ihrer Daten und regelt unter anderem Grundsätze, Informationspflicht, Datensicherheit, Bekanntgabe ins Ausland, Folgenabschätzung, Meldung von Verletzungen der Datensicherheit und die Rechte der betroffenen Personen.
Maßgeblich ist der deutsche Gesetzestext auf fedlex.admin.ch. Die Inhalte erklären das Gesetz in eigenen Worten und ersetzen keine Rechtsberatung.
Stand der Inhalte:
Bin ich betroffen?
Das DSG gilt für jedes Unternehmen, das Personendaten natürlicher Personen bearbeitet, wenn sich die Bearbeitung in der Schweiz auswirkt. Ein Sitz in der Schweiz ist nicht nötig: Auch ein Online-Shop im Ausland mit Kunden in der Schweiz oder eine Software mit Schweizer Nutzern ist erfasst. Unternehmen ohne Sitz in der Schweiz brauchen unter engen Voraussetzungen eine Vertretung in der Schweiz.
Wer bereits die DSGVO umsetzt, nutzt das DSGVO-Modul für die EU-Pflichten und dieses Modul für die Schweizer Besonderheiten: eigene Länderliste, Schweizer Anpassung der Standardvertragsklauseln, Protokollierung und Bearbeitungsreglement, Auskunft in 30 Tagen und Bussen gegen verantwortliche Personen.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Rechtsgrundlagen
- Art. 2 DSGPersönlicher und sachlicher Geltungsbereich
- Art. 3 DSGRäumlicher Geltungsbereich (Auswirkungsprinzip)
- Art. 5 DSGBegriffe
- Art. 14 DSGVertretung ausländischer Verantwortlicher
- Art. 60 bis 66 DSGStrafbestimmungen
Wichtige Fristen
-
Parlament verabschiedet das totalrevidierte DSG
Art. 72 DSG
-
Bundesrat verabschiedet die Datenschutzverordnung (DSV)
DSV
-
DSG und DSV treten ohne Übergangsfrist in Kraft
Art. 69 bis 72 DSG
-
USA in Anhang 1 DSV für Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind
Anhang 1 DSV
-
So rasch als möglich
Meldung einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko an den EDÖB, ohne feste Stundenfrist
Art. 24 DSG
-
30 Tage
Antwort auf Auskunftsbegehren in der Regel innerhalb von 30 Tagen, grundsätzlich kostenlos
Art. 25 DSG
Wie Complass hilft
- 9Phasen
- 22geführte Schritte
- 14Dokumentvorlagen
- 76Anforderungen im Katalog
Geführt in neun Phasen
Anwendbarkeit und Rollen, Verzeichnis, Grundsätze, Information, Datensicherheit, Auftragsbearbeitung und Ausland, Folgenabschätzung, Meldungen und Betroffenenrechte sowie Governance und Sanktionsrisiko.
76 Pflichten aus DSG und DSV
Jede Pflicht mit Fundstelle, Erklärung in eigenen Worten, Hinweis auf Unterschiede zur DSGVO und Umsetzungshilfe mit Mindestumfang und Nachweisen.
14 Vorlagen mit Ausfüllhilfe
Unter anderem Verzeichnis, Datenschutzerklärung, Bearbeitungsreglement, Datensicherheits- und Protokollierungskonzept, Länderliste, Folgenabschätzung, Meldung an den EDÖB und Auskunftsprozess.
Zusammen mit der DSGVO
Nachweise aus DSGVO- und ISO-27001-Projekten schlägt Complass über die gemeinsamen Maßnahmen zur Übernahme vor.
Die Phasen im Modul
- Anwendbarkeit und Rollen
- Bestandsaufnahme und Verzeichnis
- Grundsätze und rechtmäßige Bearbeitung
- Information und Transparenz
- Datensicherheit, Protokollierung und Bearbeitungsreglement
- Auftragsbearbeitung und Bekanntgabe ins Ausland
- Folgenabschätzung und Datenschutz durch Technik
- Datensicherheitsverletzungen und Betroffenenrechte
- Governance, Sanktionsrisiko und Überprüfung
Katalog: nDSG – Pflichten nach DSG und DSV
Häufige Fragen
Gilt das nDSG auch für Unternehmen ohne Sitz in der Schweiz?
Ja, sobald sich die Bearbeitung in der Schweiz auswirkt, etwa durch Kunden, Nutzer oder Beschäftigte dort. Ob zusätzlich eine Vertretung in der Schweiz nötig ist, prüfen Sie im ersten Schritt des Projekts.
Reicht unsere DSGVO-Umsetzung aus?
Zu einem großen Teil. Ergänzen müssen Sie vor allem die Schweizer Länderliste und Klauselanpassung, Protokollierung und Bearbeitungsreglement in bestimmten Fällen, die Auskunftsfrist von 30 Tagen und die Zuständigkeiten für die strafbewehrten Pflichten.
Wen treffen die Bussen?
Bussen bis CHF 250 000 richten sich gegen die verantwortliche natürliche Person, die vorsätzlich handelt, nicht automatisch gegen das Unternehmen. Klare Zuständigkeiten und dokumentierte Prüfungen sind deshalb wichtig.
Meldet Complass Verletzungen an den EDÖB?
Nein. Complass hilft bei Bewertung, Inhalt und Dokumentation; die Meldung geben Sie über das Meldeformular des EDÖB ab.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.