Im September 2020 wurde das revidierte Schweizer Datenschutzgesetz (revDSG) beschlossen. Es wird voraussichtlich 2022 in Kraft treten. Eine wichtige Neuerung im revidierten Datenschutzgesetz betrifft die Datenschutzerklärung. Diese wird neu verpflichtend. Bei der Beschaffung von Personendaten muss die betroffene Person gemäss Art. 19 revDSG darüber informiert werden, dass ihre Daten erfasst werden.
In der Datenschutzerklärung müssen mindestens folgende Punkte thematisiert werden:
- Die Identität und Kontaktdaten des Verantwortlichen
- Der Bearbeitungszweck
- Falls Daten nicht bei der betroffenen Person beschafft werden: Die Kategorien der Daten
- Falls Daten an Dritte bekanntgegeben werden: Der Empfänger oder die Kategorien von Empfängern
- Falls Daten ins Ausland übermittelt werden: Der Staat, in den die Daten übermittelt werden und ggf. zusätzliche Garantien, falls das Datenschutzniveau in diesem Land nicht ausreichend ist
Die betroffene Person muss auch dann informiert werden, wenn ihre Daten nicht bei ihr, sondern bei einem Dritten beschafft werden. In diesem Fall muss die betroffene Person innerhalb eines Monats nach der Beschaffung der Daten informiert werden (Art. 19 Abs. 3 und 5 revDSG).
In Art. 20 revDSG werden die Ausnahmen von der Informationspflicht festgelegt. Unter anderem ist keine Information notwendig, wenn die Bearbeitung der Daten gesetzlich vorgesehen ist, oder wenn die betroffene Person bereits über die entsprechenden Informationen verfügt. Werden die Daten nicht bei der betroffenen Person beschafft, so entfällt die Informationspflicht, wenn die Information nicht möglich oder unverhältnismässig aufwendig wäre.
Die Datenschutzerklärung wird idealerweise auf der Unternehmenswebseite publiziert oder einem Vertrag beigelegt.
Die Datenschutz-Grundverordnung (DSGVO) der EU schreibt bereits seit 2018 eine Datenschutzerklärung vor. Wer bereits über eine DSGVO-konforme Datenschutzerklärung verfügt, muss diese nur geringfügig anpassen: Die Regel, dass bei der Übertragung von Daten ins Ausland das Empfängerland angegeben werden muss, besteht in der DSGVO nicht, weshalb diese Angabe ergänzt werden muss. Demgegenüber muss nach dem revidierten DSG in der Regel keine Rechtsgrundlage für die Verarbeitung von Daten angegeben werden; diese Angabe muss daher nur gemacht werden, wenn die DSGVO anwendbar ist. Es empfiehlt sich, eine Datenschutzerklärung zu verfassen, die sowohl die DSGVO als auch das revDSG abdeckt.