Datenschutz auf der Intensivstation

Fachbeitrag

Datenschutz auf der Intensivstation

Das Datenschutzrecht wurde und wird umfassend revidiert, es beruht aber noch immer auf Konzepten aus den 1960er- und 1970er-Jahren des letzten Jahrhunderts. Es erstaunt deshalb wenig, dass das geltende (und künftige) Recht nicht in der Lage ist, die heutigen Probleme überzeugend zu lösen. Dieser Beitrag legt den Finger auf die wunden Punkte und versucht, erste Schritte hin zu einem neuen Ansatz zu skizzieren. Er ist bewusst provokativ gehalten und hofft, eine (längst überfällige) Diskussion zu den Grundfragen des Datenschutzrechts anzuregen.

Auftragsbearbeitung im Privatbereich

Fachbeitrag

Auftragsbearbeitung im Privatbereich

Die arbeitsteilige Datenbearbeitung verlangt in erster Linie eine klare und praktisch handhabbare Zuordnung der Verantwortung. Dafür stellt das Datenschutzrecht die Instrumente der alleinigen oder gemeinsamen Verantwortlichkeit und der Auftragsverarbeitung zur Verfügung. Wichtig ist in erster Linie die Unterscheidung der Rolle des Verantwortlichen von jener des Auftragsverarbeiters. Als Faustregel bewährt sich dabei die Schwerpunkttheorie: Eine an der Verarbeitung eines Verantwortlichen beteiligte weitere Stelle ist Verantwortliche, wenn ihr Auftrag im Kern nicht die Datenverarbeitung betrifft, sondern eine andere Dienstleistung. Betrifft ihre Leistungspflicht dagegen gerade die Datenverarbeitung, ist sie eine Auftragsverarbeiterin. In vielen Fällen sind jedoch weitere Kriterien zu beachten. Sind mehrere Stellen jeweils Verantwortliche, stellt sich sodann die weitere Frage der gemeinsamen Verantwortlichkeit. Dies gilt für die DSGVO, in Kern aber auch das (heutige und revidierte) DSG. Viele Fragen in diesem Umfeld sind allerdings noch wenig geklärt.

Technische Gestaltung von Informed Consent

Fachbeitrag

Technische Gestaltung von Informed Consent

Die gesetzlichen Anforderungen an eine Einwilligung sind sehr hoch. Zudem gab es in den letzten zehn Jahren kaum Fortschritte in ihrer technischen Realisierung. Noch immer beruht das der Einwilligung zugrunde liegende Modell auf Transaktionen mit einen begrenzten Zweck und klar definierten Zeitpunkten für den Informationsaustausch. Die Identität der Organisationen, mit denen man es zu tun hatte, die gesammelten Informationen und wie die Informationen verwendet werden sollten, war bekannt. Im Gegensatz sind digitale Assistenten, mit denen wir reden, proaktiv und merken sich, was ihre Gesprächspartner schätzen. Dazu benötigen sie Informationen, die sie aus dem persönlichen Kalender, Telefonaten und Interaktionen in sozialen Netzwerken gewinnen. Sie werden für die unterschiedlichsten Aufgaben eingesetzt, was es für den Auftraggeber schwierig macht zu wissen, welche Unternehmen ihre Daten verarbeiten und für welche Zwecke. Dies stellt zusätzliche Herausforderungen an die technische Umsetzung von Einwilligungen.

Erste Erfahrungen mit der DSGVO

Fachbeitrag

Erste Erfahrungen mit der DSGVO

Die DSGVO gilt seit rund einem halben Jahr. In vielen Punkten besteht trotz (zum Teil auch wegen) behördlicher Leitlinien weiterhin grosse Unklarheit, bspw. beim Anwendungsbereich der DSGVO, bei den Rechtsgrundlagen, bei Datenschutzerklärungen, im Zusammenhang mit Betroffenenrechten und bei der datenschutzrechtlichen Rollenverteilung. Auch in den vielen (vor allem in Deutschland) erschienenen Kommentierungen sind viele Fragen strittig, und andere bleiben offen. Dagegen sind Abmahnwellen bisher ausgeblieben, und es sind erst wenige Sanktionsentscheide ergangen. Auch ist die Zahl von Betroffenenanfragen bisher nicht explodiert. Auf Seite der Unternehmen werden die Umsetzungsarbeiten fortgesetzt. In der Schweiz beginnt Ende November die Beratung des DSG, die hoffentlich mit Augenmass geführt wird.

Datenschutzreform in der Schweiz

Fachbeitrag

Datenschutzreform in der Schweiz

Wegen der europäischen Datenschutzreformen müssen in der Schweiz die Datenschutzgesetze von Bund und Kantonen angepasst werden. Die Umsetzung der Schengen-relevanten Richtlinie (EU) 2016/680 hätte bis zum 1. August 2018 erfolgen müssen. Dass der Bundesgesetzgeber im Rückstand ist, darüber ist in den Tagesmedien hinlänglich berichtet worden.

Datenzugangsrechte

Fachbeitrag

Datenzugangsrechte

Ob und unter welchen Voraussetzungen das Recht Zugang zu Daten Dritter – sog. Datenzugangsrechte – gewähren soll, könnte in absehbarer Zukunft zu einer zentralen Frage der Datenwirtschaft werden, weil solche Zugangsrechte das Potenzial haben, für einen besseren Interessenausgleich zu sorgen. Dieser Beitrag nimmt eine Systematisierung verschiedener Problemlagen vor, in denen Datenzugangsrechte diskutiert werden, und untersucht diese. Darauf aufbauend können erste Schlüsse gezogen werden, inwieweit die Interessen der Beteiligten neu auszutarieren sind und ob Raum für die (Weiter-)Entwicklung von Datenzugangsrechten besteht.

Zum Anwendungsbereich der DSGVO

Fachbeitrag

Zum Anwendungsbereich der DSGVO

Es ist nicht abschliessend geklärt, ob die DSGVO auf schweizerische Unternehmen anwendbar ist, wenn und weil diese als Auftragsverarbeiter eines Verantwortlichen mit Niederlassung in der EU tätig sind oder umgekehrt Daten durch einen EU-Auftragsverarbeiter verarbeiten lassen. Nach hier vertretener Auffassung ist dies nicht der Fall; in solchen Konstellationen untersteht nur das Unternehmen in der EU der DSGVO.

Extraterritoriale Wirkung der DSGVO

Fachbeitrag

Extraterritoriale Wirkung der DSGVO

Die Bestimmungen der DSGVO sind für schweizerische Unternehmen relevant. Dies gilt insbesondere dann, wenn ein schweizerisches Unternehmen Personendaten im Auftrag eines Datenverantwortlichen in der EU bearbeitet, wenn ein schweizerisches Unternehmen sich mit einem Onlineshop spezifisch an EU-Bürger richtet oder auf einer Webseite die Internetaktivitäten von EU-Bürgern beobachtet. Nicht nur die DSGVO wirkt sich extraterritorial aus. Auch ohne explizite gesetzliche Regelung kann bereits das geltende schweizerische Datenschutzrecht auf internationale Verhältnisse Anwendung finden. Daran wird sich mit der Revision des schweizerischen Datenschutzgesetzes nichts ändern. Die Anwendbarkeit des schweizerischen Datenschutzgesetzes auf ausländische Unternehmen bzw. die Anwendbarkeit der DSGVO auf schweizerische Unternehmen ist das eine. In der Praxis schwieriger ist die Vollstreckung von datenschutzrechtlichen Massnahmen und Sanktionen im internationalen Verhältnis.

Whistleblowing und Datenschutz

Fachbeitrag

Whistleblowing und Datenschutz

International wie auch national gewinnt Whistleblowing immer mehr an Bedeutung. Eine gesetzliche Regelung gibt es in der Schweiz bis anhin jedoch noch nicht. Die vorgesehene Gesetzesrevision wurde vom Parlament zwecks Vereinfachung des Gesetzestextes an den Bundesrat zurückgeschickt. Trotz der fehlenden gesetzlichen Regelung steht Whistleblowing jedoch nicht völlig im rechtsfreien Raum. Arbeitsschutz- und vor allem datenschutzrechtliche Bestimmungen bestehen, die auch zwingend für Whistleblowing gelten. So sind die datenschutzrechtlichen Bearbeitungsgrundsätze wie Verhältnismässigkeit, Treu und Glauben, Zweckbindung, Erkennbarkeit, Datenrichtigkeit und Datensicherheit auch bei der Bearbeitung von Personendaten in einem Whistleblowing-System anzuwenden.