Jusletter IT

Die Deadline ist gesetzt. Bereits im 2015 soll sie unter Dach und Fach sein¹: die neue, Europäische Datenschutzverordnung, ein Alptraum für viele Firmen, besonders für internationale und amerikanische Unternehmen, die in Europa oder mit europäischen Bürgern gute Geschäfte machen.

Zwar haben viele Unternehmenslobbyisten seit der Bekanntgabe des ersten Entwurfes zahlreiche Anstrengungen unternommen, um die Gestaltung der EU-Datenschutzverordnung zu beeinflussen und um sie so gut wie möglich zu verwässern (es gab zum Beispiel über 4’000 Änderungsanträge)². Doch seit der Snowden-Affäre ist klar: Das Lobbyieren, das Debattieren und das massive Dagegenankämpfen werden nicht viel fruchten: Man hat nun endgültig genug von den ständigen Überwachungsaffären und Datenschutzskandalen. Die neue Europäische Datenschutzverordnung mit ihren zahlreichen neuen Regelungen wird kommen.

Auch für Schweizer Firmen wird die EU-Datenschutzverordnung relevant sein, namentlich wenn sie in der EU Handel betreiben oder mit anderen Firmen in Europa Personendaten austauschen. Zudem wird die Schweiz ihre eigene Gesetzgebung voraussichtlich den künftigen neuen und deutlich verschärften EU-Datenschutzregeln weitgehend anpassen müssen, um auch weiterhin über einen der EU gleichwertigen Datenschutzstandard zu verfügen. Dies hat die Schweiz bisher immer getan. Dies wird sie voraussichtlich auch künftig tun.

Und das kommt voraussichtlich auf Unternehmen zu:

Laut Art. 3 Abs. 1 gilt die künftige EU-Datenschutzverordnung, wenn eine personenbezogene Datenbearbeitung durch ein Unternehmen oder eine Niederlassung in der EU erfolgt (Art. 3 Abs. 1 des Entwurfes der EU-Datenschutzverordnung nach der Abstimmung vom 21. Oktober 2013 des LIBE-Ausschusses für «Bürgerliche Freiheiten, Justiz und Inneres» der Europäischen Union³). Auch Unternehmen in der EU, die im Auftrag von Firmen in Drittländern – wie zum Beispiel aus der Schweiz oder den USA – Personendaten bearbeiten, müssen die EU-Datenschutzverordnung beachten. Damit kann man durchaus leben.

Problematisch ist jedoch Art. 3 Abs. 2 der EU-Datenschutzverordnung⁴: Sie soll künftig auch dann gelten, wenn ausländische Firmen ohne Niederlassung in der EU personenbezogene Daten von EU-Bürgern verarbeiten, um diesen in der EU Waren oder Dienstleistungen anzubieten oder wenn die Datenverarbeitung der Beobachtung von Unionsbürgern dient⁵ (zum Beispiel bezüglich des Verhaltens und der Vorlieben von Kunden im Rahmen des analytischen Customer Relationship Managements oder mit Hilfe von Tracking-Technologien). Firmen, die hier in der Schweiz Daten ihrer europäischen Kunden bearbeiten, müssten also die Datenschutzverordnung beachten, selbst wenn sie in der EU keine Zweigniederlassung oder sonstige Präsenz haben. Selbst amerikanische Cloud-Anbieter, welche die Daten von europäischen Bürgen in den USA «hosten», würden in vielen Fällen direkt von den neuen EU-Datenschutzregeln erfasst⁶.

Damit wird der Geltungsbereich der Datenschutzverordnung weit über den geografischen Raum der EU ausgedehnt. Der Geltungsbereich wird neu an die Verarbeitung von personenbezogenen Daten von EU-Bürgern geknüpft. In welchem Land die Verarbeitung dieser Daten erfolgt, ist nach dieser Regel grundsätzlich egal. Firmen, die zum Beispiel in Australien, China, Russland oder in anderen aussereuropäischen Drittländern die Daten von Kunden aus der EU verarbeiten, werden die EU- Datenschutzverordnung einhalten müssen. Mit anderen Worten: Die EU will den aussereuropäischen Ländern ihre Datenschutzregeln aufzwingen. Dies ist zwar unangenehm, aber andere Länder machen dies in anderen Rechtsgebieten auch (zum Beispiel beim FACTA-Gesetz⁷ oder beim biometrischen Pass⁸).

Bereits der ursprüngliche Entwurf der EU-Kommission hatte es in sich⁹. Er sah bei Verstössen gegen den Datenschutz eine Geldstrafe von bis zu 5 Prozent des weltweiten Jahresumsatzes vor¹⁰. Dies passte den Unternehmenslobbyisten gar nicht. Sie hatten daher diesen Wert zwischenzeitlich auf 2 Prozent heruntergehandelt¹¹. Ein Ausschuss des Europäischen Parlamentes hat nun aber diesen Betrag – eine mögliche Auswirkung der Snowden-Affäre¹² – in einer Abstimmung vom 21. Oktober 2013 wieder erhöht. Laut dem aktuellen Entwurf müssen Unternehmen künftig für Datenschutzverletzungen Geldbussen von bis zu 5 Prozent ihres weltweiten Jahresumsatzes oder bis zu 100 Millionen Euro, je nachdem welcher der beiden Beträge in einem konkreten Fall höher ist, an die datenschutzrechtlichen Aufsichtsbehörden abliefern (Art. 79 Abs. 2a des Entwurfes¹³). Das kann richtig wehtun und die Unternehmenskasse erheblich schmälern. Ein fiktives Beispiel: Ein internationaler Konzern erzielt einen jährlichen weltweiten Umsatz von rund 22 Milliarden US-Dollar und einen weltweiten Nettogewinn von 2.7 Milliarden US-Dollar. 5 Prozent von 22 Milliarden US-Dollar ergeben 1.1 Milliarden US-Dollar. Vom weltweiten Nettogewinn bleibt nach dem Abzug der Busse von 1.1 Milliarden US-Dollar noch ein Gewinn von 1.6 Milliarden US-Dollar. Der ursprüngliche weltweite Nettogewinn wird also um 40.7 Prozent geschmälert. Dies ist ein stolzer Betrag, namentlich wenn man bedenkt, dass solche Bussen für neue oder andere Datenschutzverletzungen des gleichen Unternehmens erneut verhängt werden können.

Diese Geldbusse wird jeweils von der datenschutzrechtlichen Aufsichtsbehörde verhängt (Art. 79 Abs. 1 des Entwurfes¹⁴). Daneben kann jede betroffene Person, die wegen einer rechtswidrigen Verarbeitung oder einer anderen mit der Datenschutzverordnung nicht zu vereinbarenden Handlung einen Schaden erlitten hat, Schadenersatz von dem für die Verarbeitung verantwortlichen Unternehmen oder vom Auftragsverarbeiter verlangen (Art. 77 des Entwurfes¹⁵). Sind aufgrund einer datenschutzrechtlichen Nachlässigkeit gleich hunderte oder gar tausende von Kunden des Unternehmens betroffen, was in der Praxis immer wieder vorkommt, so kann es richtig teuer werden. Deshalb ist klar: Aus rein finanzieller Sicht werden sich künftig die Investitionen in den Unternehmensdatenschutz und das damit verbundene datenschutzrechtliche Compliance Management durchaus lohnen.

Bisher galt: Alle EU-Mitglieder dürfen grundsätzlich ihre eigenen Datenschutzgesetze erlassen. Sie mussten sich dabei lediglich an der EU-Datenschutzrichtlinie von 1995 orientieren, also einen gewissen Mindeststandard im Datenschutz einhalten. Damit soll es nun künftig vorbei sein. Grund: Gerade die Möglichkeit, Datenschutzgesetze – wenn auch in einem gewissen vorgeschriebenen Rahmen – selber erlassen zu dürfen, führte innerhalb der EU nicht nur zu unterschiedlichen Datenschutzgesetzen, sondern darüber hinaus auch noch zu einem ungleichen Datenschutzniveau zwischen den Mitgliedländern¹⁶. Die neue EU-Datenschutzverordnung soll deshalb für alle 28 Mitgliederländer gleichermassen und unmittelbar gelten. Damit fallen die datenschutzrechtlichen Besonderheiten in den einzelnen EU-Mitgliedländern sowie die unterschiedlichen Sanktionen und Bussen für Datenschutzverletzungen automatisch weg. Und deshalb wird für Unternehmen auch das «Forum Shopping» − zumindest in datenschutzrechtlicher Hinsicht − weniger attraktiv. Sie werden dann nicht mehr einfach ihren Sitz im Mitgliedstaat mit dem niedrigsten Datenschutzstandard und den geringsten Sanktionen aussuchen können¹⁷.

Bürger und Unternehmen der EU werden sich künftig auch nur noch an eine Datenschutzbehörde als Ansprechpartnerin wenden müssen (sog. «One-Stop-Shop-Ansatz» oder Prinzip einer zentralen Anlaufstelle)¹⁸. Dies bedeutet einerseits, dass EU-Bürger eine Beschwerde selbst dann an die Datenschutzbehörde in ihrem Mitgliedstaat richten können (Art. 73 des Entwurfes)¹⁹, wenn sich die Hauptniederlassung des Unternehmens, dessen Datenbearbeitungen als unrechtmässig beanstandet werden, in einem anderen EU-Staat befindet. Gerade dies dürfte die Rechtsdurchsetzung bis zu einem gewissen Grad erleichtern. Denn nach dem bisher geltenden EU-Datenschutzrecht ist dafür die Behörde des Landes zuständig, in dem das Unternehmen seine Hauptniederlassung hat²⁰. Trotz dieser neuen Beschwerdemöglichkeit im eigenen Mitgliedstaat: Bei der Rechtsdurchsetzung hapert es – auch nach dem voraussichtlich künftigen EU-Datenschutzrecht²¹.

Grund: Wenn ein Unternehmen mehrere Niederlassungen in der EU hat, so soll nach dem Entwurf der EU-Datenschutzverordnung die Aufsichtsbehörde des Mitgliedstaats zuständig sein, in dem sich die Hauptniederlassung befindet (Art. 54a des Entwurfes²²). Diese federführende Behörde soll dann zu jeder Phase eines Aufsichtsverfahrens gegenüber einem Unternehmen für die Koordinierung mit den beteiligten Behörden in allen EU-Ländern sorgen, in welchen das Unternehmen Niederlassungen hat. Zu diesem Zweck soll sie insbesondere auch alle massgeblichen Informationen weiterleiten und die anderen Behörden konsultieren, bevor sie eine Massnahme ergreift, die dazu dient, rechtliche Konsequenzen für ein beaufsichtigtes Unternehmen zu schaffen (Art. 54a Abs. 2 des Entwurfes²³).

Mit anderen Worten: Die betroffenen Personen sollen zwar immer eine Beschwerde wegen einer widerrechtlichen Datenbearbeitung bei der Aufsichtsbehörde im eigenen EU-Heimatland vorbringen können – und auch in jedem anderen EU-Mitgliedstaat. Für allfällige Sanktionen und Massnahmen ist dann aber doch die Hauptaufsichtsbehörde zuständig, die sich in einem anderen EU-Mitgliedstaat befinden kann²⁴. Das Recht zur Beschwerde im eigenen EU-Heimatland und die letztendliche Durchsetzung mittels einer Sanktion oder Massnahme klaffen auseinander. Denn wenn für die eigentliche Durchsetzung sowie das damit verbundene Verfahren eine ausländische EU-Aufsichtsbehörde zuständig ist, die sich möglicherweise noch in einem anderen Sprachraum befindet, erschwert dies für die Betroffenen die Geltendmachung ihrer Datenschutzrechte. Für die Betroffenen sind die Nähe zur Aufsichtsbehörde, die Sprache und die unmittelbare Kommunikationsmöglichkeit wichtig²⁵. Immerhin müssen von der federführenden Aufsichtsbehörde die involvierten nationalen Behörden in einem speziellen Mitbestimmungsverfahren miteinbezogen werden, falls sich die Datenbearbeitung eines Unternehmens auf mehrere EU-Staaten erstreckt²⁶.

Anderseits kommt das Prinzip einer zentralen Anlaufstelle auch dadurch zum Ausdruck, dass Unternehmen in der EU künftig nur noch mit der Datenschutzbehörde desjenigen Mitgliedstaates zusammenarbeiten müssen, in dem sich ihre Hauptniederlassung befindet (vgl. dazu Art. 4 Abs. 13 in Verbindung mit Art. 52 Abs. 2 und Art. 54a des Entwurfes)²⁷. Die Hauptniederlassung eines Unternehmens befindet sich in der Regel an dem Ort, an dem die Grundsatzentscheidungen hinsichtlich der Zwecke, Bedingungen und Mittel der Verarbeitung personenbezogener Daten getroffen werden (Art. 4 Abs. 13 des Entwurfes²⁸). Wird allerdings darüber nicht in der Europäischen Union entschieden, sondern zum Beispiel in einer Konzernzentrale in Sydney, Hong Kong oder New York, gilt als Hauptniederlassung der Ort, an dem die Verarbeitungstätigkeiten im Rahmen der Tätigkeiten einer Niederlassung in der Union hauptsächlich stattfinden (Art. 4 Abs. 13 des Entwurfes²⁹).

Betriebliche Datenschutzbeauftragte (Data Protection Officers³⁰) sollen in der gesamten EU eine Rechtspflicht werden. Für viele Firmen mag es tröstlich sein, dass diese Pflicht erst gelten soll, wenn innerhalb eines Jahres die Daten von mehr als 5000 Menschen verarbeitet werden (Art. 35 Abs. 1 lit. b des Entwurfes³¹). Laut dieser Definition müsste zum Beispiel ein Unternehmen mit 40 Angestellten über einen Datenschutzbeauftragten verfügen, wenn es innerhalb eines Jahres neben den Mitarbeiterdaten zusätzlich noch die Daten von über 4'960 Kunden bearbeiten würde (zum Beispiel ein Hotel mit über 4'960 Übernachtungen pro Jahr). Zahlreiche kleine Betriebe, die diesen Schwellenwert nicht erreichen, müssten also keinen betrieblichen Datenschutzbeauftragten einsetzen – wenn es allein auf diese Voraussetzungen ankommen würde.

Allerdings kann ein betrieblicher Datenschutzbeauftragter auch unabhängig vom genannten Schwellenwert erforderlich sein. Laut dem Entwurf der EU-Datenschutzverordnung soll dies dann der Fall sein, wenn die Kerntätigkeit eines Unternehmens in der Durchführung von Verarbeitungsvorgängen besteht, die aufgrund ihres Wesens, ihres Umfangs und / oder ihrer Zwecke eine regelmässige und systematische Beobachtung oder Profilerstellung von betroffenen Personen erforderlich machen (Art. 35 Abs. 1 lit. c des Entwurfes³²). Versicherungen, Banken und Kreditinstitute, die aufgrund ihrer Tätigkeit fortlaufend Kundenprofile erstellen und überprüfen (Art. 35 Abs. 1 lit. c des Entwurfes), um Versicherungs- und Kreditrisiken zu eruieren, müssten also unabhängig von der Anzahl der Kunden und Mitarbeitenden, einen betrieblichen Datenschutzbeauftragten bestellen. Unter dem Blickwinkel dieser Definition werden auch Marketingfirmen und Datenbroker einen Datenschutzbeauftragten benötigen, besteht doch das Wesen ihrer Tätigkeit auch im Sammeln und Handeln von personenbezogenen Daten.

Der eigentliche Knackpunkt steckt jedoch in einer recht unscheinbaren Bestimmung. Unternehmen (oder Auftragsverabeiter) müssen künftig auch einen Datenschutzbeauftragten bezeichnen, falls ihre Kernaktivitäten aus der Verarbeitung besonderer Kategorien von Daten bestehen (Art. 35 Abs. 1 lit. d des Entwurfes³³). Zu diesen besonderen Kategorien gehören: Daten über die Gesundheit oder das Sexualleben, genetische und biometrische Daten, Daten über die Rasse oder ethnische Herkunft, Daten über politische und philosophischen Überzeugungen, Daten über die Religions- und Glaubenszugehörigkeit, Daten über die Zugehörigkeit zu einer Gewerkschaft, Daten über Strafurteile und damit zusammenhängende Sicherheitsmassregeln, personenbezogene Ortsdaten, Daten über Kinder sowie Mitarbeiterdaten in grossen Ablagesystemen bzw. Datenbanken (Art. 35 Abs. 1 lit. d in Verbindung mit Art. 9 Abs. 1 des Entwurfes³⁴). Es ist offensichtlich: Vom Radar dieser Norm werden auch zahlreiche kleine Firmen erfasst, welche die eine oder andere Kategorie dieser Daten bearbeiten. Denn mit dieser Regel wird nicht auf die Grösse des Unternehmens, sondern die Relevanz der Datenverarbeitung und vor allem auf die Art der Daten abgestellt. Was man jedoch genau unter «Kernaktivitäten» verstehen soll, darüber schweigen sowohl der Entwurf der Datenschutzverordnung als auch die dazugehörige Erläuterungen. Abgrenzungsschwierigkeiten sind diesbezüglich programmiert. Nachbesserungen sind in diesem Punkt wünschenswert.

Bei internationalen Konzerngesellschaften genügt – zumindest auf dem Papier – grundsätzlich ein einziger betrieblicher Datenschutzbeauftragter (Art. 35 Abs. 2 des Entwurfes³⁵). Fakt ist jedoch, dass bereits heute grosse nationale und internationale Konzerne mehrere Personen und mitunter ganze Abteilungen mit datenschutzrechtlichen Fragen beschäftigen. Jedes IT-Projekt und jedes Business Modell, welches mit personenbezogenen Daten hantiert, muss datenschutzkonform geplant, implementiert und betrieben werden. Viele dieser Projekte sind zusätzlich oft noch länderübergreifend. Und damit berühren sie häufig auch verschiedene Rechtsordnungen, die von ganz unterschiedlichen Wertvorstellungen, Rechtskulturen und Sprachen geprägt sind. Es ist daher rein schon aus praktischer Sicht unmöglich, dass ein einziger betrieblicher Datenschutzbeauftragter für einen grossen internationalen Konzern genügen und dazu auch noch alle Rechtsordnungen kennen kann. Sinnvoll wäre es, wenn es in einem internationalen Konzern zumindest pro Land einen betrieblichen Datenschutzbeauftragten geben würde. Dies empfiehlt sich auch unter dem Blickwinkel der einzuhaltenden Sorgfaltspflichten sowie unter haftungsrechtlichen Gesichtspunkten.

Ferner wird sich das Datenschutzrecht im europäischen Raum auch künftig mit der Inkraftsetzung der EU-Datenschutzverordnung, welche die nationalen Datenschutzgesetze (weitgehend) ablösen wird³⁶, nicht allein in einem einzigen Erlass erschöpfen. Im Gegenteil: Nach wie vor werden länderspezifische Kenntnisse von datenschutzrechtlichen Spezialnormen und deren Zusammenspiel mit dem übergeordneten, insbesondere dem internationalen Recht, notwendig sein. Oft gelten in einzelnen Branchen zahlreiche datenschutzrechtliche Spezialbestimmungen, so zum Beispiel für Sozial- und Privatversicherungen, Banken, Telco-Unternehmen und für Pharmafirmen. Wenn für einen weltweit operierenden Konzern, zum Beispiel eine Versicherungsgruppe, allein für die Region Europa ein einziger betrieblicher Datenschutzbeauftragter (ohne weiteres Personal) bezeichnet wird, so macht dies stutzig. Wie soll eine einzige Person – selbst wenn sie ein Rechtsstudium in zwei oder gar drei Ländern und auch noch in verschiedenen Sprachen absolviert hat – die spezialgesetzlichen Datenschutzregeln all dieser europäischen Länder kennen und dazu noch sämtliche personenbezogenen IT-Projekte des Konzerns datenschutzkonform planen und begleiten können – und dies auch noch ohne mit den rechtlichen Sorgfaltspflichten in Konflikt zu geraten? Es ist evident: Faktisch brauchen grosse internationale Konzerne, die den Datenschutz und ihre Sorgfaltspflichten wirklich einhalten möchten, immer mehrere betriebliche Datenschutzbeauftragte oder wenigstens einen betrieblichen Datenschutzbeauftragten, der zur Erfüllung seiner Aufgabe auf ausreichendes Personal zugreifen kann.

Ein betrieblicher Datenschutzbeauftragter darf einerseits durch das Unternehmen oder durch den Auftragsverarbeiter (Outsourcingnehmer) selber angestellt werden (Art. 35 Abs. 8 des Entwurfes³⁷). Anderseits darf ein betrieblicher Datenschutzbeauftragter seine Aufgaben auch auf der Grundlage eines Dienstleistungsvertrages bzw. im Rahmen eines Auftragsverhältnisses erfüllen (Art. 35 Abs. 8 des Entwurfes³⁸), was vor allem für kleine Firmen ein Kostenvorteil sein kann. Allerdings sind für internationale Konzerne angestellte Datenschutzbeauftragte eher angebracht. Der Grund: Externe Datenschutzbeauftrage haben meistens einen sehr viel kleineren Ein- und Überblick über die konzerninternen Betriebsabläufe sowie den damit verbundenen Datenbearbeitungsprozesse als interne Datenschutzbeauftragte, es sei denn, dass sie wie interne Mitarbeiter bei datenschutzrechtlich relevanten Projekten involviert werden.

Interessant ist die hierarchische Eingliederung des betrieblichen Datenschutzbeauftragten im Unternehmen. Dies betrifft die betriebsinternen Datenschutzbeauftragten, die ihre Funktion im Anstellungsverhältnis wahrnehmen. Gemäss Art. 36 Abs. 2 des Entwurfes EU-Datenschutzverordnung muss der betriebliche Datenschutzbeauftragte direkt der Geschäftsleitung unterstellt werden³⁹. Dabei muss die Geschäftsleitung des Unternehmens sicherstellen, dass der betriebsinterne Datenschutzbeauftragte seinen Pflichten und Aufgaben unabhängig nachkommen kann und keine Anweisungen bezüglich der Ausübung seiner Tätigkeit erhält. Deshalb sollten betriebliche Datenschutzbeauftragte auch nie in einer Linienstelle angesiedelt werden. Es bestünde dann eher die Gefahr, dass man auf den Datenschutzbeauftragen bei der Überprüfung der datenschutzrechtlichen Konformität von Projekten und Betriebsabläufen Druck ausübt, insbesondere um diese zu genehmigen. Mit der direkten Unterstellung unter die Geschäftsleitung besteht diese Gefahr weniger.

Wo die Verarbeitung persönlicher Daten auf Zustimmung beruht, soll nun künftig ein Unternehmen ausdrücklich die Beweislast dafür tragen, dass die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für eindeutig festgelegte Zwecke erteilt hat (Art. 7 Abs. 1 des Entwurfes⁴⁰). Falls die Einwilligung durch eine schriftliche Erklärung erfolgt, die noch einen anderen Sachverhalt betrifft, muss das Erfordernis der Einwilligung äusserlich erkennbar und klar von dem anderen Sachverhalt getrennt werden (Art. 7 Abs. 2 des Entwurfes⁴¹). Vertragsklauseln, die diese Regel nicht beachten, werden künftig ungültig sein (Art. 7 Abs. 2 des Entwurfes⁴²).

Die Einwilligung kann grundsätzlich jederzeit zurückgezogen werden, es sei denn, dass eine klare gesetzliche Grundlage für die Bearbeitung der Daten der betroffenen Person gegeben ist (Art. 7 Abs. 3 des Entwurfes⁴³), welche die Zustimmung der betroffenen Person implizit ersetzt bzw. unnötig macht. Der Widerruf einer Zustimmung soll keinen Einfluss auf die Rechtmässigkeit der Datenbearbeitungen haben, die vor dem Zeitpunkt des Widerrufes erfolgten (Art. 7 Abs. 3 des Entwurfes⁴⁴). Die betroffene Person muss vom Unternehmen informiert werden, wenn der Widerruf der Zustimmung die Beendigung des Vertragsverhältnisses oder der bisher erbrachten Dienstleistungen zur Folge hat (Art. 7 Abs. 3 des Entwurfes).

Die Einwilligung muss auf einen bestimmten Zweck beschränkt sein. Sie soll ihre Gültigkeit verlieren, wenn der ursprüngliche Zweck nicht mehr existiert oder sobald die Verarbeitung personenbezogener Daten für die Ausführung des ursprünglich vorgesehenen Zweckes für welche die Personendaten gesammelt wurden, nicht mehr notwendig ist.

Besonders wichtig: Die Ausführung eines Vertrages oder die Erbringung einer Dienstleistung darf nicht von einer Zustimmung zu einer personenbezogenen Datenverarbeitung abhängig gemacht werden (Art. 7 Abs. 3 des Entwurfes⁴⁵), die für die Erfüllung des betreffenden Vertrages oder für die Erbringung der Dienstleistung nicht notwendig ist (Art. 7 Abs. 4 in Verbindung mit Art. 6 Abs. 1 lit. b des Entwurfes⁴⁶). Damit besteht ein klares Koppelungsverbot.

Die Verarbeitung personenbezogener Daten eines Kindes bis zum vollendeten dreizehnten Lebensjahr, dem direkt Waren oder Dienstleistungen angeboten werden, soll nur rechtmässig sein, wenn und insoweit die Einwilligung hierzu durch die Eltern oder den rechtlichen Vertretern des Kindes oder mit deren Zustimmung erteilt wird (Art. 8 Abs. 1 des Entwurfes⁴⁷). Aber ab dem Alter von 13 Jahren sollen Kinder selbst über eine Datenverarbeitung bestimmen dürfen⁴⁸.

Ganz generell soll bei der Einholung der Einwilligung die Orientierung der betroffenen Personen durch standardisierte Symbole (sogenannte Icons) sowie durch standardisierte «Information Policies» erleichtert werden (Art. 13a des Entwurfes)⁴⁹. Unleserliche Nutzungsbedingungen sollten damit schon bald der Vergangenheit angehören⁵⁰.

Laut Art. 31 des Entwurfes der neuen EU-Datenschutzverordnung (sowie der zugehörigen Erläuterungen) müssen Datenschutzverletzungen künftig spätestens innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden (der Entwurf vor der Abstimmung vom 21. Oktober 2013 sah sogar eine Meldepflicht innerhalb von 24 Stunden vor)⁵¹. Falls die Benachrichtigung innerhalb dieser Frist nicht möglich ist, sind die Gründe für die Verzögerung darzulegen⁵². Zudem muss unmittelbar im Anschluss an diese Meldung in der Regel auch die Person informiert werden, die von der Datenschutzverletzung betroffen ist (Art. 32 des Entwurfes⁵³). Immerhin muss diese zweite Meldung nur dann erfolgen, wenn die Wahrscheinlichkeit besteht, dass der Schutz der personenbezogenen Daten oder der Privatsphäre der betroffenen Person durch eine festgestellte Verletzung des Schutzes personenbezogener Daten beeinträchtigt wird. Beispiele für eine solche Beeinträchtigung sind ein Identitätsdiebstahl, ein Identitätsbetrug, eine physische Schädigung, eine erhebliche Demütigung oder eine Rufschädigung⁵⁴. Verpflichtet zu diesen Meldungen ist der für die Verarbeitung Verantwortliche, also im Unternehmensbereich die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Entwurf Art. 4 Abs. 5 in Verbindung mit Art. 31⁵⁵).

Neu wird voraussichtlich auch eine Datenschutz-Folgenabschätzung notwendig sein, wenn die betreffenden Datenverarbeitungsvorgänge konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen (Art. 33 in Verbindung mit Art. 32a des Entwurfes⁵⁶). Von einem spezifischen Risiko geht der Entwurf immer automatisch dann aus, wenn ein Unternehmen innerhalb von einem Jahr Daten von mehr als 5'000 Menschen bearbeitet (Art. 32a Abs. 2 lit. a des Entwurfes⁵⁷). Eine Datenschutz-Folgenabschätzung wird auch bei der Bearbeitung von besonderen Kategorien von Daten erforderlich sein (wie zum Beispiel bei Gesundheitsdaten, personenbezogenen Ortsdaten, Daten über Kinder, biometrische und genetische Daten, vgl. dazu Art. 32a Abs. 2 lit. b des Entwurfes⁵⁸). Bei Auswertungen oder Profilerstellungen, die als Grundlage für Massnahme dienen, welche Rechtswirkungen oder andere erhebliche Auswirkungen für die betroffene Person zur Folge haben, schreibt die EU-Datenschutzverordnung ebenfalls eine Datenschutz-Folgenabschätzung vor (Art. 32a Abs. 2 lit. c des Entwurfes⁵⁹). Neben diesen gibt es noch andere Fälle.

Wichtig ist bei der Folgenabschätzung, dass sie zumindest eine Beschreibung der geplanten Verarbeitungsvorgänge, eine Bewertung der Risiken für die Privatsphäre der betroffenen Personen sowie die geplanten Abhilfemassnahmen, Garantien, Verfahren und Sicherheitsvorkehrungen enthalten müssen (Art. 33 Abs. 3 des Entwurfes⁶⁰). Nach der Folgenabschätzung und auf ihrer Grundlage muss bei besonders heiklen Bearbeitungsvorgängen auch die datenschutzrechtliche Aufsichtsbehörde zu Rate gezogen und ihre Einwilligung eingeholt werden, um sicherzustellen, dass die geplante Datenverarbeitung im Übereinstimmung mit der EU-Datenschutzverordnung steht (Art. 34 des Entwurfes mit zugehörigen Erläuterungen⁶¹). In einfacheren Bearbeitungsfällen soll die Ansicht des betrieblichen Datenschutzbeauftragten genügen.

Künftig sollen für Unternehmen datenschutzfreundliche Voreinstellungen zur Pflicht werden (Art. 23 Abs. 2 des Entwurfes). Produkte und Dienstleistungen müssen daher bereits bei ihrem ersten Verkauf oder bei ihrer ersten Inanspruchnahme für die Konsumenten datenschutzfreundlich eingestellt sein⁶².

Der Datenschutz soll zudem künftig bereits beim Produkt-Design berücksichtigt werden (Art. 23 Abs. 1 des Entwurfes). Unternehmen werden sich daher vermehrt Gedanken machen müssen, wie sie den Datenschutz bereits bei der Entwicklung ihrer Produkte und Dienstleitungen berücksichtigen können⁶³.

Dies sind nur einige der wichtigsten Erneuerungen (Eckpunkte), die sich im Entwurf der künftigen EU-Datenschutzverordnung finden. Es gibt noch andere. Wann genau die EU-Datenschutzverordnung in Kraft treten wird, ist im Moment zwar noch offen. Und einzelne Modifikationen sind durchaus noch möglich. Klar ist allerdings: Alle Unternehmen, insbesondere auch die schweizerischen Firmen, die ihre Dienstleistungen und Produkte europäischen Bürgern anbieten oder in Europa Handel betreiben, sollten sich schon jetzt im Hinblick auf die neue EU-Datenschutzverordnung entsprechend vorbereiten. Sie sollten zudem ihre Datenbearbeitungsprozesse überprüfen (oder durch betriebsexterne Experten überprüfen lassen) und ihre Datenschutzrisiken mit rechtlichen, organisatorischen und technischen Massnahmen absichern. Zudem sollten sie generell bei der Planung des Jahresbudgets Kosten für datenschutzrechtliche Aufwendungen einstellen. Aus betriebswirtschaftlicher Sicht sind solche Mehrkosten alles andere als erwünscht. Indessen werden weitsichtige Unternehmen diese in Kauf nehmen. Denn welche Firma möchte schon bei ertappten Datenschutzverletzungen − nebst Schadenersatz an die betroffenen Personen − eine Geldbusse von bis zu 5% ihres weltweiten Jahresumsatzes an die Aufsichtsbehörden abliefern müssen?

---

 

Dr. iur. Alex Schweizer, LL.M. ist Inhaber der Firma Schweizer Privacy Law (www.privacylaw.ch). Sie ist spezialisiert auf Datenschutz- und Informatikrecht.