Der Ständerat ist im Wesentlichen den Anträgen seiner Kommission gefolgt und hat die Vorlage des neuen Datenschutzgesetzes gegenüber den bundes- und nationalrätlichen Entwürfen nochmals angepasst.

Als Zweitrat hat der Ständerat am 18. Dezember 2019 die Vorlage zur Totalrevision des Datenschutzgesetzes debattiert und sie in der Gesamtabstimmung angenommen. Er akzeptierte dabei praktisch alle der von der Staatspolitischen Kommission des Ständerats im November 2019 vorgeschlagenen Änderungen zum Gesetzesentwurf des Bundesrates und den Änderungen des Nationalrates. Einzig der sehr weitgehende Vorschlag der Kommission, für jede Weitergabe von Personendaten eine Einwilligung zu fordern, wurde von der kleinen Kammer abgelehnt.

Änderungen zu den bundes- und nationalrätlichen Entwürfen

Die folgenden Änderungen zu den bundes- und nationalrätlichen Entwürfen sind im Hinblick auf die Umsetzung des neuen Gesetzes für Unternehmen besonders relevant:

  • Definition von besonders schützenswerten Personendaten: Die ausdrückliche Nennung von Daten über gewerkschaftlichen Ansichten und Tätigkeiten soll, wie vom Bundesrat gefordert, im Entwurf belassen werden. Zudem sollen genetische Daten wie im bundesrätlichen Entwurf nicht nur dann besonders schützenswert sein, wenn sie eine Person eindeutig identifizieren. Der entsprechende vom Nationalrat geforderte Zusatz soll gestrichen werden.
  • Profiling mit hohem Risiko: Künftig soll zwischen «Profiling» und «Profiling mit hohem Risiko» unterschieden werden, wobei für letzteres eine zusätzlicheDefinition in das Gesetz aufgenommen werden soll. An solche Datenbearbeitungen sollen erhöhte Anforderungen gestellt werden, wie insbesondere die Notwendigkeit der ausdrücklichen Einwilligung der betroffenen Person.
  • Verletzung der Datensicherheit: Eine Verletzung der Datensicherheit soll nur vorliegen, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert oder Unbefugten offengelegt oder zugänglich gemacht werden.
  • Umfang und Ausnahme von der Informationspflicht: Der Mindestinhalt der Informationspflicht soll um die Liste der Rechte der betroffenen Personen sowie die Angabe der Absicht der Datenbearbeitung zur Prüfung der Kreditwürdigkeit der betroffenen Person und einer damit zusammenhängenden Datenbekanntgabe an Dritte erweitert werden. Ausserdem soll die Informationspflicht nicht aufgrund unverhältnismässigen Aufwands entfallen können.
  • Umfang des Auskunftsrechts: Die betroffene Person soll stets über das Vorliegen einer Datenbearbeitung zur Prüfung ihrer Kreditwürdigkeit sowie einer automatisierten Einzelentscheidung informiert werden. Zudem soll der Verantwortliche bei beiden über die Logik, auf welcher die Bearbeitung bzw. Entscheidung beruht, informieren.
  • Konzernprivileg: Bei den Voraussetzungen für die Einschränkung der Informationspflicht und des Auskunftsrechts sowie beim anerkannten überwiegenden Interesse im Zusammenhang mit der Datenbearbeitung von Konkurrenten gelten Unternehmen, die von derselben juristischen Person kontrolliert werden, im Rahmen der Datenbekanntgabe nicht als Dritte. Der Ständerat beauftragte den Nationalrat, in dessen nächsten Beratung zu prüfen, ob die betroffenen Artikel dahingehend ergänzt werden sollen, dass die Ausnahme auch in genossenschaftlich organisierten Unternehmen gelten soll.
  • Sanktionierbare Verletzung von Sorgfaltspflichten: Die Nichteinhaltung der Mindestanforderungen an die Datensicherheit soll, wie im bundesrätlichen Entwurf, mit Busse bis zu Fr. 250’000 sanktionierbar sein.

Weiteres Vorgehen

Durch seine Änderungen hat der Ständerat alle Punkte des nationalrätlichen Entwurfs bereinigt, welche für die Erlangung des Äquivalenzentscheides der Europäischen Kommission als kritisch galten. Es kann deshalb davon ausgegangen werden, dass die Gesetzesvorlage in der Version des Ständerates den Vorgaben der EU für einen gleichwertigen Datenschutz genügen würde.

Die Vorlage wird nun voraussichtlich in der Frühlingssession 2020 im Differenzbereinigungsverfahren als erstes vom Nationalrat beraten. Abhängig vom Zeitpunkt der Differenzbereinigung im Ständerat könnte der definitive Gesetzesentwurf damit bereits nach Abschluss der Frühlingssession oder aber erst nach der Sommersession 2020 vorliegen.

Wir werden Sie auch weiterhin über den Verlauf des Revisionsverfahrens informieren. Gerne beraten Sie unsere Spezialisten hinsichtlich der möglichen Auswirkungen des angepassten Gesetzesentwurfs auf Ihr Unternehmen.