Datenschutzerklarung Schweiz (nDSG)

Die Datenschutzerklarung Schweiz (nDSG) in der Schweiz ist ein rechtsverbindliches schriftliches Dokument. Art. 19 nDSG begründet die Informationspflicht — die zentrale Verpflichtung des Verantwortlichen, betroffene Personen bei der Beschaffung von Personendaten über folgende Punkte zu informieren: Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck, Empfänger oder Kategorien von Empfängern und — bei Bekanntgabe ins Ausland — Zielland und massgebliche Garantien. Die Datenschutzerklärung ist das primäre Instrument zur Erfullung dieser Informationspflicht.

Das nDSG schutzt Personendaten natürlicher Personen, die von privaten Personen (naturliche und juristische Personen) oder Bundesorganen bearbeitet werden. Im Gegensatz zum alten DSG schützt das nDSG keine Daten juristischer Personen mehr. Gemäss Art. 3 Abs. 1 nDSG (Auswirkungsprinzip) gilt das Gesetz für jede Bearbeitung mit Auswirkungen in der Schweiz — unabhängig vom Ort der Datenbearbeitung.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDOEB) ist die unabhängige Aufsichtsbehörde gemäss Art. 43 nDSG. Er untersucht Datenschutzverletzungen, gibt Empfehlungen ab und kann Verwaltungsverfahren einleiten. Das nDSG hat die Befugnisse des EDOEB stärkt — er kann Verfugungen erlassen, die den Verantwortlichen zur Einstellung oder Änderung der Datenbearbeitung verpflichten. Strafbare Verletzungen der Informationspflicht, des Auskunftsrechts und der Vorschriften über Auslandsuebermittlungen werden gemäss Art. 60 nDSG mit Bussen bis zu CHF 250'000 gegen die verantwortlichen naturlichen Personen (nicht die Gesellschaft) geahndet.

Das nDSG führt neue Konzepte ein: Die Datenschutz-Folgenabschätzung (DSFA, Art. 22 nDSG) ist vor Bearbeitungen mit hohem Risiko für Personlichkeit oder Grundrechte der betroffenen Personen durchzufuhren — vergleichbar mit der DSFA-Pflicht gemäss Art. 35 DSGVO. Das Verzeichnis der Bearbeitungstätigkeiten gemäss Art. 12 nDSG ist von jedem Verantwortlichen und Auftragsbearbeiter zu führen; Unternehmen mit weniger als 250 Mitarbeitenden ohne hohes Risiko sind ausgenommen. Datenbekanntgaben ins Ausland sind gemäss Art. 16 nDSG nur in Lander mit angemessenem Schutz (Staatenliste des Bundesrats, Anhang 1 DSV) oder mit geeigneten Garantien (Standarddatenschutzklauseln, verbindliche Unternehmensregeln, ausdrückliche Einwilligung) zulassig.

Eine Datenschutzerklärung Schweiz wird von jedem Verantwortlichen benötigt, der Personendaten natürlicher Personen erhebt oder bearbeitet — unabhängig davon, ob es sich um ein Unternehmen, eine Vereinigung, einen Einzelunternehmer oder eine andere Privatperson handelt. Art. 19 nDSG verlangt die Erfullung der Informationspflicht bei jeder Datenbeschaffung; die Datenschutzerklärung ist das standardmässige Instrument dafür.

Ein Website-Betreiber benötigt eine Datenschutzerklärung, sobald er Nutzerdaten erhebt — über Kontaktformulare, Registrierungsprozesse, Newsletter-Anmeldungen, Webanalyse-Tools (Google Analytics, Matomo, Adobe Analytics), Cookies oder Social-Media-Integrationen. Die Datenschutzerklärung muss auf der Website gut sichtbar zugänglich sein, typischerweise über einen permanenten Link im Footer.

Arbeitgeber benötigen eine Datenschutzerklärung für Mitarbeitende, sobald sie Personaldaten bearbeiten — Lohndaten, AHV-Nr., Gesundheitsdaten für die Krankentaggeldversicherung, Mitarbeiterbeurteilungen oder Videouberwachung am Arbeitsplatz. Die Datenschutzerklärung für Mitarbeitende muss neben dem nDSG auch Art. 328b OR beachten, der die Datenbearbeitung im Arbeitsverhaltnis regelt.

Sobald ein Unternehmen Personendaten an Dritte weitergibt — Auftragsbearbeiter (Cloud-Hosting-Anbieter, Lohnbuchhaltungsdienstleister, IT-Support), Konzerngesellschaften, Behörden oder Geschaftspartner — muss die Datenschutzerklärung gemäss Art. 19 Abs. 2 lit. c nDSG die Empfaengerkategorien offenlegen.

Bei Datenbekanntgaben ins Ausland (Art. 16-17 nDSG) muss die Datenschutzerklärung gemäss Art. 19 Abs. 4 nDSG das Zielland und die massgeblichen Garantien (Staatenliste, Standarddatenschutzklauseln, verbindliche Unternehmensregeln oder ausdrückliche Einwilligung) angeben.

Eine Datenschutzerklärung Schweiz gemäss nDSG (SR 235.1), DSV und EDOEB-Leitlinien muss folgende Pflichtbestandteile enthalten, um die Informationspflicht nach Art. 19 nDSG zu erfullen.

Identität des Verantwortlichen: Vollständiger Name, Geschaftsadresse und Kontaktangaben (E-Mail, Telefon) des Verantwortlichen. Wenn ein freiwilliger Datenschutzberater (Art. 10 nDSG) bestellt wurde, sind dessen Kontaktdaten anzugeben. Unternehmen ohne Niederlassung in der Schweiz, deren Bearbeitung Auswirkungen in der Schweiz hat, müssen gemäss Art. 14 nDSG eine Vertretung in der Schweiz bezeichnen.

Bearbeitungszwecke: Klare und konkrete Beschreibung aller Zwecke der Datenbearbeitung — Vertragserfüllung, vorvertragliche Massnahmen, uberwiegende Interessen, gesetzliche Pflichten, Einwilligung oder Schutz lebenswichtiger Interessen. Art. 6 Abs. 2 nDSG verlangt die Einhaltung der Grundsätze Verhältnismässigkeit, Zweckbindung und Transparenz.

Personendatenkategorien: Beschreibung der erhobenen Datenkategorien — Personenstammdaten (Name, Adresse, Geburtsdatum), Kontaktdaten (E-Mail, Telefon), Vertragsdaten, Finanzdaten (Bankverbindung, Zahlungshistorie), Nutzungsdaten (IP-Adresse, Browsertyp, Zugriffsprotokolle) und allenfalls besonders schutzenswerte Personendaten (Gesundheitsdaten, religiöse Ansichten, ethnische Herkunft, biometrische Daten, Strafregistereinträge gemäss Art. 5 lit. c nDSG).

Empfänger: Empfaengerkategorien — Auftragsbearbeiter (Cloud-Hosting wie Microsoft Azure, AWS, Google Cloud), Konzerngesellschaften, Behörden (AHV-Ausgleichskasse, Steuerbehörden, FINMA), Banken und Versicherungen sowie andere Vertragspartner. Auftragsbearbeitungsverträge (AVV) gemäss Art. 9 nDSG sind mit allen Auftragsbearbeitern abzuschliessen.

Auslandsuebermittlungen: Bei Datenbekanntgabe ins Ausland: Zielland, Angemessenheitsstatus gemäss Staatenliste des Bundesrats (DSV Anhang 1) und Garantien für Lander ohne angemessenen Schutz (Standarddatenschutzklauseln, verbindliche Unternehmensregeln, Einwilligung gemäss Art. 17 Abs. 1 nDSG). Alle EU/EWR-Mitgliedsstaaten, Grossbritannien, Kanada, Japan, Neuseeland u.a. stehen auf der Staatenliste.

Aufbewahrungsdauer: Kriterien für die Datenspeicherung: vertragliche Notwendigkeit, gesetzliche Aufbewahrungspflichten (OR Art. 958f: 10 Jahre für Geschaftsunterlagen; DBG: 10 Jahre für Steuerbelege). Nach Wegfall des Bearbeitungszwecks sind Personendaten zu löschen oder zu anonymisieren.

Betroffenenrechte: Auskunftsrecht (Art. 25 nDSG), Recht auf Datenherausgabe/-ubertragung (Art. 28 nDSG), Recht auf Berichtigung und Recht auf Widerspruch gegen die Bearbeitung. Betroffene können Beschwerde beim EDOEB einreichen (www.edoeb.admin.ch). forms-legal.com stellt eine professionelle Vorlage zur Verfügung, die alle genannten Bestandteile abdeckt.

Gehen Sie beim Ausfullen der Datenschutzerklärung Schweiz systematisch vor. Tragen Sie im Abschnitt Verantwortlicher den genauen Firmennamen gemäss Handelsregister und die UID-Nummer (CHE-XXX.XXX.XXX) ein. Prüfen Sie, ob bei EU/EWR-Aktivitäten auch eine EU-Vertretung und DSGVO-Konformität erforderlich ist. Bei den Datenkategorien müssen alle tatsächlich erhobenen Datentypen aufgeführt werden. Für Auslandsuebermittlungen: Prüfen Sie jedes Empfängerland anhand der Staatenliste des Bundesrats (DSV Anhang 1). Für nicht gelistete Länder (z.B. USA) ist die massgebliche Garantie (in der Regel Standarddatenschutzklauseln mit schweizspezifischen Anpassungen) anzugeben. Prufen Sie die handelsrechtliche Aufbewahrungspflicht (10 Jahre gemäss OR Art. 958f). Aktualisieren Sie das Gueltigkeitsdatum bei jeder Ueberarbeitung.

Die Datenschutzerklärung Schweiz richtet sich nach dem nDSG (SR 235.1, in Kraft seit 1.9.2023), der DSV und den EDOEB-Leitlinien. Wesentliche Anforderungen: Informationspflicht gemäss Art. 19 nDSG bei der Datenbeschaffung; Bearbeitungsgrundsätze gemäss Art. 6 nDSG (Verhältnismässigkeit, Zweckbindung, Transparenz); Bussen bis CHF 250'000 gegen verantwortliche naturliche Personen bei vorsätzlicher Verletzung (Art. 60 nDSG); DSFA-Pflicht bei hohem Risiko (Art. 22 nDSG); Bearbeitungsverzeichnis (Art. 12 nDSG); Regeln für Auslandsuebermittlungen (Art. 16-17 nDSG); EDOEB als Aufsichtsbehörde (Art. 43 nDSG). Unternehmen, die auch Personendaten von EU/EWR-Personen bearbeiten, müssen gleichzeitig DSGVO und nDSG einhalten.

Häufige Fehler bei Schweizer Datenschutzerklärungen: keine Aktualisierung nach Inkrafttreten des nDSG am 1. September 2023; fehlender Hinweis auf Beschwerderecht beim EDOEB; unvollständige Auflistung der Auftragsbearbeiter; kein Bearbeitungsverzeichnis gemäss Art. 12 nDSG; zu vage Beschreibung der Bearbeitungszwecke, die Art. 19 nDSG nicht genugt; fehlende Angabe der Garantien bei Ubermittlungen in Lander ausserhalb der Staatenliste; kein Cookie-Consent-Hinweis gemäss FMG Art. 45c. Eine jahrliche Überprüfung und Aktualisierung der Datenschutzerklärung ist praxisempfehlung des EDOEB.