Europäischer Datenschutz geht auch die Schweiz an

Lesedauer: 2 Minuten

Thema: Datenschutz

Autorin: Sabine Stoll

#dsgvo #dataprotection #datenschutz #schweiz #europa

Im Mai 2018 wird eine neue Datenschutzverordnung der EU in Kraft treten. Das frische Regelwerk regelt den Umgang mit personenbezogenen Daten – für die allermeisten Unternehmen insofern relevant. Auch Schweizer Firmen sollten sich mit der DSGVO beschäftigen.

Ab dem nächsten Frühling, genauer gesagt ab Mai 2018, wird eine neue Richtlinie der Europäischen Union in Kraft treten. Abgekürzt: DSGVO, was für das unbequeme Wort Datenschutzverordnung steht. Inhaltlich geht es um den Schutz der Personendaten von EU-Bürger_innen. Die neuen Regelungen betreffen also alle Unternehmen oder Organisationen, die personenbezogene Daten nutzen – z. B. für Sales oder Marketing. Auch Firmen, die einen Newsletter an ihre Kund_innen versenden, sind betroffen.

Die Regulierung betrifft klar EU-Bürger_innen. Damit sind Schweizer Unternehmen betroffen, die Waren oder Dienstleistungen innerhalb der Europäischen Union anbieten. Ebenso sind Firmen aus der Schweiz dann betroffen, wenn Daten von in der EU lebenden Personen verarbeitet werden. Also auch: die Geschäftskund_innen aus Belgien, die Service-Hotline in Deutschland, der nach Frankreich versandte Newsletter. 

Der EU ist es ernst mit der Regulierung: Verstösse werden mit bis zu 20 Millionen Euro Busse geahndet oder mit zwei bis vier Prozent des Gesamtumsatzes. Im Fall von gestohlenen Daten oder Datenträgern fallen ebenso Bussen an (das kann ein verloren gegangener USB-Stick sein). Aktuell befindet sich auch in das Schweizer Datenschutzgesetz in Totalrevision. Es ist zu erwarten, dass die EU-Richtlinie dabei eine starke Orientierung für die Gesetzgebung hierzulande sein wird.

Laut der Richtlinie müssen die Unternehmen jederzeit Auskunft über die Verwendung und Lagerung der Daten geben können. Fragen wie «Welche Daten und welches Profiling sind für Person X hinterlegt?» oder «Wo sind die Daten abgelegt?» müssen beantwortet werden können. Die Verwendung, Ablage und Verarbeitung aller personenbezogener Daten muss vollständig dokumentiert werden und (jederzeit) nachvollziehbar sein. Anträge auf Löschung müssen innerhalb eines Monats bearbeitet und sichergestellt werden können.

Ab einer Betriebsgrösse von 250 Mitarbeiter_innen muss ein_e Datenschutzbeauftragte_r bestimmt werden, um die Einhaltung der Datenschutzgrundsätze zu gewährleisten. Datenschutzverletzungen müssen umgehend an die Behörden gemeldet werden. Wichtig: vor der Verwendung personenbezogener Daten soll die Einwilligung der Betroffenen eingeholt werden.

Neben vielen anderen Berührungspunkten betrifft die Datenschutzverordnung auch den Bereich E-Mail-Marketing. Denn dort wird zwangsläufig mit personenbezogenen Daten umgegangen. Für den Newsletterprozess von Unternehmen bedeutet das: unbedingt die Einwilligung der Abonnent_innen einholen, idealerweise über ein Double-Opt-In-Verfahren. Bei der Einwilligung ist zu beachten, dass diese aktiv eingeholt werden. Geschieht die Newsletter-Anmeldung über eine Website, darf die Checkbox zum Bestellen des Newsletters nicht vorausgewählt sein. E-Mail-Adressen sollten sowieso nicht gekauft werden, und nach Inkrafttreten der Verordnung erst recht nicht. 

Falls Userprofile geführt werden und diese mit Informationen angereichert werden, sollte dies Teil der Datenschutzerklärung werden. Auch hier gilt, die Nutzer_innen so umfassend wie möglich über die Datenverwendung aufzuklären. Auch für automatische Mailings wie Trigger, Follow-Ups oder ähnliche Formen sollte die Einwilligung der Newsletter-Abonnent_innen eingeholt werden. Grundsätzlich ist es empfehlenswert, zukünftige und bestehende Subsriber so transparent wie möglich über die Verwendung der Daten zu informieren. Zudem sollten Newsletter-Marketer sich bewusst sein, ob und welche Daten von EU-Bürger_innen wie gespeichert und verarbeitet werden. Solche Informationen sollten idealerweise dokumentiert werden.