Die Schweizer nFADP,
verständlich erklärt

Die nFADP ist das revidierte Schweizer Datenschutzgesetz, oft als revFADP geschrieben und auf Deutsch das revidierte DSG (nDSG). Sie trat am 1. September 2023 in Kraft und löste ein Gesetz aus den frühen 1990er-Jahren ab, womit der Schweizer Datenschutz auf den heutigen Umgang von Organisationen mit Personendaten gebracht wurde.

Es ist ein Bundesgesetz, kein Standard, gegen den man sich zertifizieren lässt. Es gibt kein «nFADP-Zertifikat», das man an die Wand hängt, und keine akkreditierte Stelle, die Sie dagegen prüft. Sie halten es ein, wie Sie jedes Gesetz einhalten: indem Sie seine Pflichten in der tatsächlichen Verarbeitung von Personendaten erfüllen und das zeigen können, wenn die Behörde oder eine betroffene Person fragt.

Ein grosser Teil der Revision zielte bewusst darauf ab, nahe an der EU-GDPR zu bleiben. Die Schweiz ist kein EU-Mitglied, doch ein weitgehend gleichwertiges Schweizer Recht hilft, die Anerkennung der EU zu wahren, dass die Schweiz ein angemessenes Schutzniveau bietet. Genau das lässt Personendaten ohne zusätzliche Schutzmassnahmen frei zwischen der EU und der Schweiz fliessen.

Die folgenreichste Änderung ist zugleich am leichtesten zu übersehen: Die nFADP schützt nur die Personendaten natürlicher Personen. Das frühere Gesetz erfasste auch die Daten juristischer Personen, von Unternehmen und anderen Organisationen, und dieser Schutz ist weggefallen. Wenn Ihre alte Dokumentation Lieferanten- oder Firmendaten auf dieser Grundlage als im Anwendungsbereich behandelte, hat sich das Bild verengt.

Die Revision hat zudem die Pflichten rund um Transparenz und Information geschärft. Die Informationspflichten gegenüber den Personen, deren Daten Sie verarbeiten, sind weiter gefasst als zuvor, damit Einzelne wissen, was erhoben wird, warum und wohin es gehen kann. Zwei neue Kategorien, genetische Daten und biometrische Daten, die eine Person eindeutig identifizieren, kamen zur Liste der «besonders schützenswerten» Personendaten hinzu, die strengeren Handhabungsanforderungen unterliegen.

Schliesslich führte die Revision Privacy by Design und Privacy by Default als ausdrückliche Pflichten ein, statt als gute Praxis, die man freiwillig übernehmen mag. Zusammen verschieben diese Änderungen das Schweizer Recht von einem leichteren, rein grundsatzbasierten Regime hin zu etwas, das ein GDPR-geschultes Team wiedererkennt.

Die nFADP gilt für private Personen und Bundesorgane, die Personendaten natürlicher Personen bearbeiten. Für die meisten Unternehmen heisst das, dass fast jeder Umgang mit Kunden-, Mitarbeiter-, Interessenten- oder Nutzerdaten in den Anwendungsbereich fällt: das Erheben, Speichern, Nutzen, Weitergeben oder Löschen.

Entscheidend ist: Sie kann über die Schweizer Grenze hinausreichen. Das Gesetz gilt für Bearbeitungen, die sich in der Schweiz auswirken, selbst wenn die handelnde Organisation im Ausland sitzt. Ein nicht-schweizerisches Unternehmen, das Personen in der Schweiz bedient, kann der nFADP also ebenso unterstehen, wie ein Nicht-EU-Unternehmen der GDPR unterstehen kann.

Die praktische Folge für Schweizer Teams ist, dass die nFADP selten das einzige Gesetz im Spiel ist. Viele Schweizer Unternehmen bedienen auch Kunden in der EU, was die GDPR daneben stellt. Diese Überschneidung, zwei eng verwandte, aber eigenständige Regelwerke, ist der grösste Grund, weshalb Schweizer Teams ihre Pflichten einmal abbilden und die Arbeit wiederverwenden wollen, statt zwei getrennte Programme zu betreiben.

Im Zentrum der nFADP steht eine kleine Zahl von Grundsätzen, die jede Verarbeitungstätigkeit beachten muss. Personendaten sind rechtmässig und nach Treu und Glauben zu bearbeiten; Erhebung und Nutzung müssen verhältnismässig und an einen festgelegten, erkennbaren Zweck gebunden sein; Daten müssen richtig und aktuell gehalten werden; und sie müssen durch angemessene Sicherheitsmassnahmen vor Verlust und unbefugtem Zugriff geschützt sein.

Diese Grundsätze sind keine Checkliste, die man einmal abhakt. Sie sind Bedingungen, die durchgehend für alles gelten müssen, was Sie mit Personendaten tun. Deshalb ist «sind wir noch verhältnismässig, noch zweckgebunden, noch sicher?» eine Frage, die ein Programm immer wieder stellt, statt sie einmal zu beantworten und abzulegen.

Die nFADP erwartet von Verantwortlichen und Auftragsverarbeitern, ein Verzeichnis ihrer Verarbeitungstätigkeiten zu führen, ein Inventar dessen, welche Personendaten sie handhaben, zu welchen Zwecken, mit wem geteilt und wie lange aufbewahrt. Es ist das Dokument, das Ihnen und der Behörde die Gestalt Ihrer Datenverarbeitung auf einen Blick zeigt, und meist das Erste, wonach Sie greifen, wenn eine andere Pflicht aufkommt.

Für kleinere Organisationen gibt es eine bedeutsame Ausnahme. Unternehmen mit weniger als 250 Mitarbeitenden sind von der Verzeichnispflicht befreit, sofern ihre Verarbeitung risikoarm ist, in der Praxis also, wenn sie keine umfangreiche Bearbeitung besonders schützenswerter Daten und kein Profiling mit hohem Risiko umfasst. Die Ausnahme ist real, aber bedingt: Ein kleines Unternehmen mit wirklich sensibler oder risikoreicher Verarbeitung darf das Verzeichnis nicht weglassen.

In der Praxis führen viele KMU trotzdem ein Verzeichnis, weil die Bedingungen, welche die Ausnahme aufheben, genau die Fälle sind, in denen man eines am dringendsten will, und weil das Verzeichnis das Rückgrat ist, an dem der Rest des Programms hängt. Lässt man es veralten, rekonstruiert ein kleines Team seine Datenflüsse aus dem Gedächtnis, sobald eine Frage eintrifft.

Wenn eine geplante Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt, verlangt die nFADP eine Datenschutz-Folgenabschätzung (DPIA), bevor Sie beginnen. Die umfangreiche Bearbeitung besonders schützenswerter Daten oder systematische umfangreiche Überwachung sind die Arten von Tätigkeit, die eine solche typischerweise auslösen.

Eine DPIA ist ein strukturiertes Erst-prüfen-dann-handeln: Sie beschreiben die geplante Verarbeitung, beurteilen die Risiken, die sie für die betroffenen Personen birgt, und legen die Massnahmen dar, die diese Risiken auf ein vertretbares Mass senken. Bleibt selbst nach Ihren Massnahmen ein hohes Risiko bestehen, erwartet das Gesetz, dass Sie den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten konsultieren, bevor Sie weitermachen.

Weil der Auslöser die Riskanz einer bestimmten Tätigkeit ist, sind DPIAs keine einmalige Sache. Neue Produkte, neue Datenquellen und neue Nutzungen vorhandener Daten werfen die Frage jeweils erneut auf. Deshalb fahren Teams, die die DPIA als lebendige, wiederverwendbare Beurteilung behandeln, besser als jene, die eine schreiben und sie vergessen.

Wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt, verlangt die nFADP, dass Sie den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich benachrichtigen. Wo es zu ihrem Schutz nötig ist oder der EDÖB es verlangt, müssen Sie auch die betroffenen Personen informieren.

Die entscheidende Formulierung lautet «so rasch wie möglich». Anders als die feste 72-Stunden-Frist der GDPR setzt die nFADP einen weniger starren Zeitrahmen, doch die praktische Anforderung ist dieselbe: Tritt eine Verletzung ein, müssen Sie sie rasch beurteilen und melden, was nur realistisch ist, wenn Sie bereits wissen, welche Daten Sie führen und wo sie liegen. Eine Datenpanne ist der schlechteste Moment, um zu entdecken, dass Ihr Verzeichnis von Verarbeitungstätigkeiten veraltet ist.

Die nFADP und die GDPR sind nahe Verwandte, und das mit Absicht; ein Team, das die eine versteht, erkennt das meiste der anderen wieder: dieselben Grundsätze, dieselbe Betonung der Transparenz, ähnliche Verzeichnisse, DPIAs und Pflichten bei Datenpannen. Doch sie sind nicht identisch, und genau bei den Unterschieden geht die leichtfertige Annahme «wir machen ja schon GDPR» schief.

Die bemerkenswerten Abweichungen: Die Verzeichnis-Ausnahme der nFADP für Unternehmen unter 250 Mitarbeitenden hat kein sauberes GDPR-Gegenstück; die Meldung von Datenpannen erfolgt «so rasch wie möglich» statt innert einer festen Frist von 72 Stunden; die nFADP kennt keine allgemeine Pflicht, einen Datenschutzbeauftragten zu benennen, wie es die GDPR in bestimmten Fällen tut; und, am auffälligsten, das Durchsetzungsmodell ist anders, denn die Bussen der nFADP treffen verantwortliche Einzelpersonen, nicht in erster Linie das Unternehmen. Auch der Anwendungsbereich unterscheidet sich: Die nFADP erfasst die Daten juristischer Personen nicht mehr, was die GDPR ohnehin nie tat.

Für ein Schweizer Unternehmen, das auch EU-Kunden bedient, gelten beide Gesetze zugleich, und das ist der Regelfall, nicht der Sonderfall. Der effiziente Weg ist, die sich überschneidenden Pflichten als eine Arbeit zu behandeln: ein Control oder eine Aufzeichnung einmal abbilden und damit jedes Gesetz erfüllen, dem sie genügt, statt zwei parallele Ordner zu pflegen, die auseinanderdriften.

Der EDÖB überwacht die Einhaltung der nFADP. Er kann untersuchen, Verfügungen erlassen und anordnen, dass Bearbeitungen geändert, ausgesetzt oder eingestellt werden, das Aufsichtsrückgrat des Gesetzes. Überraschend für viele ist jedoch, wie die finanziellen Sanktionen funktionieren.

Für bestimmte Verstösse erlaubt die nFADP strafrechtliche Bussen von bis zu CHF 250'000. Das auffällige Detail ist, wer zahlt: Die Busse wird der verantwortlichen Privatperson auferlegt (der Person, die eine bestimmte Pflicht verletzt hat), nicht in erster Linie dem Unternehmen. Das ist ein bewusster Bruch mit den umsatzbezogenen Unternehmensbussen der GDPR, und es verändert das interne Gespräch: Datenschutzpflichten sind etwas, wofür bestimmte Personen persönlich zur Verantwortung gezogen werden können, was den Einsatz erhöht, Rollen, Entscheide und Aufzeichnungen klar zu halten.

Für ein Konformitätsprogramm ist die Folge praktisch. Die Verteidigung gegen eine Sanktion ist dieselbe wie die Arbeit, das Programm gut zu führen: zu wissen, was Sie verarbeiten, warum es rechtmässig und verhältnismässig ist, dass es dokumentiert und gesichert ist, und dass Sie all das zeigen können. Ein aktuell gehaltenes Programm ist der Beleg dafür, dass die Pflichten erfüllt wurden, und das, was Sie am wenigsten im Nachhinein aus dem Gedächtnis zusammensetzen wollen.