Am 1. September 2023 tritt in der Schweiz das neue Bundesgesetz über den Datenschutz (Datenschutzgesetz – DSG) in Kraft. Viele Verantwortliche, die in der EU oder Drittländern personenbezogene Daten von in der Schweiz befindlichen Betroffenen verarbeiten, benötigen dann eine Vertretung in der Schweiz. Wir fassen alle wichtigen Infos zum neuen Schweiz-Vertreter für Sie zusammen.
Die wichtigsten Fragen und Antworten zum Schweiz-Vertreter
Das neue Schweizer Datenschutzgesetz orientiert sich in vielen Bereichen an der EU-Datenschutz-Grundverordnung (DSGVO). Es überrascht deshalb nicht, dass auch ein Spiegelbild geschaffen wird zum EU-Vertreter, wie ihn Art. 27 DSGVO von Unternehmen ausserhalb der EU verlangt bzw. zum UK Representative, wie ihn Art. 27 der United Kingdom General Data Protection Regulation (UK GDPR) von Unternehmen ausserhalb des Vereinigten Königreichs verlangt.
Neben vielen Gemeinsamkeiten von Schweiz-Vertreter und EU-Vertreter gibt es auch einige Unterschiede, die sich u.a. aus benachbarten Schweizer Gesetzen ergeben:
“Wer muss einen Schweiz-Vertreter bezeichnen?”
In Art. 14 DSG finden sich die Vorgaben für die verpflichtende Bezeichnung einer Vertretung in der Schweiz. Demnach müssen private Verantwortliche einen Schweiz-Vertreter benennen, wenn der Sitz oder Wohnsitz des Verantwortlichen ausserhalb der Schweiz liegt und der Verantwortliche personenbezogene Daten von Menschen, die sich in der Schweiz aufhalten, bearbeitet.
Die Datenbearbeitung muss eine der folgenden Voraussetzungen erfüllen:
- Die Bearbeitung steht im Zusammenhang mit dem Angebot von Waren und Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz.
- Es handelt sich um eine umfangreiche Bearbeitung.
- Es handelt sich um eine regelmässige Bearbeitung.
- Die Bearbeitung bringt ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich.
Darüber hinaus kann der Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) auch als Verwaltungsmassnahme im Sinne von Art. 51 DSG anordnen, dass ein Unternehmen mit Sitz oder Wohnsitz im Ausland einen Schweiz-Vertreter bezeichnet.
“Wer muss keinen Schweiz-Vertreter bezeichnen?”
Behörden oder öffentliche Stellen sowie Auftragsbearbeiter müssen keinen Schweiz-Vertreter bezeichnen.
Für private Verantwortliche gibt es nur folgende Ausnahmen von der Pflicht, eine Vertretung in der Schweiz zu bezeichnen: Wenn die Bearbeitung von Daten
- nur gelegentlich erfolgt,
- nicht umfangreich ist oder
- kein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt.
Verantwortliche haben dabei die Art, die Umstände, den Zweck sowie Risiken für die Rechte und Freiheiten der Betroffenen zu berücksichtigen. Insbesondere bei Online-Unternehmen dürfte eine solche Ausnahme wohl kaum zum Tragen kommen.
Achtung: Die hier aufgeführten Ausnahmen von der Benennungspflicht für einen Schweiz-Vertreter greifen nur dann, wenn alle Bearbeitungen eines Verantwortlichen davon abgedeckt sind. Ist auch nur eine einzige Bearbeitung umfangreich oder nicht nur gelegentlich, ist ein Schweiz-Vertreter zu benennen.
“Wen können Sie als Vertretung in der Schweiz bestellen?”
Sie können sowohl natürliche Personen als auch Unternehmen oder andere Organisationen, die ihren Sitz in der Schweiz haben, als Vertretung in der Schweiz bezeichnen.
Das DSG verlangt keine nachzuweisende fachliche Qualifikation. Aus der Erfahrung der inzwischen etablierten EU-Vertreter nach DSGVO lassen sich jedoch folgende Mindestanforderungen an Schweiz-Vertreter formulieren:
- sehr gute Kenntnisse des Schweizer Datenschutzrechts (Datenschutzgesetz, Datenschutzverordnung (DSV), Verordnung über Datenschutzzertifizierungen (VDSZ)) sowie themenverwandte Erlasse;
- sehr gute Kenntnisse der DSGVO, um Datenbearbeitungen im beauftragenden Unternehmen beurteilen bzw. ggfs. erklären zu können;
- sehr gute Kenntnisse der Informations- und IT-Sicherheit sowie entsprechender gesetzlicher Regelungen,
- praktische Erfahrung bei der Umsetzung gesetzlicher Vorgaben zu Datenverarbeitungen,
- Erfahrung im Umgang mit Aufsichtsbehörden und Betroffenen.
Zudem ist es ratsam, dass ein Schweiz-Vertreter in den Amtssprachen der Schweiz (Deutsch, Französisch, Italienisch und Rätoromanisch) mit Betroffenen kommunizieren kann.
Aus Art.394 ff. des Obligationsrechts (OR) (SR 220) ergeben sich die Anforderungen an die vertragliche Beziehung zwischen Schweiz-Vertreter und Verantwortlichem. Demnach ist der Vertreter zu sorgfältigem Handeln verpflichtet und muss die persönliche und organisatorische Fähigkeit zur Wahrnehmung der Vertreterpflichten aufweisen.
“Was sind die Aufgaben des Schweiz-Vertreters?”
Art. 15. DSG regelt die Aufgaben und Pflichten der Vertretung in der Schweiz regelt. Demnach ist die vorrangige Aufgabe des Schweiz-Vertreters, Anlaufstelle für Betroffene und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu sein. Im Rahmen dessen kann der Schweiz-Vertreter rechtswirksam Erklärungen abgeben und solche in Vertretung empfangen.
Schweizer Aufsichtsbehörden können den Vertreter dazu verpflichten, alle relevanten Informationen bereitzuhalten, die zur Aufklärung von datenschutzrechtlichen Sachverhalten notwendig sind. Arbeitet der Schweizer-Vertreter nicht ausreichend mit dem EDÖB zusammen, kann letzterer Sanktionen aussprechen.
Der Schweiz-Vertreter hat außerdem ein Verzeichnis aller Verarbeitungstätigkeiten (in der Schweiz: Bearbeitungstätigkeiten), die im oder mit Bezug auf Personen in der Schweiz anfallen, vorzuhalten (Art. 12 DSG). Es ist nicht vorgeschrieben, ob Erstellung, Pflege und Ergänzung des Verzeichnisses vom Schweiz-Vertreter selbst zu gewährleisten sind. Vertraglich kann das der Vertretung in der Schweiz jedoch übertragen werden.
“Wofür haftet der Schweiz-Vertreter?”
Verantwortliche sind auch bei Bezeichnung eines Schweiz-Vertreters nach den Grundsätzen des DSG für Haftungsfälle heranzuziehen und müssen sich das Verhalten ihres Vertreters zurechnen lassen. Die Vertretung in der Schweiz ist zumindest im Aussenverhältnis nicht selbst haftbar.
Verstösst der Schweiz-Vertreter hingegen gegen seine Vereinbarung mit dem Verantwortlichen oder Auftragsbearbeiter, kann er im Innenverhältnis je nach Ausgestaltung des Vertrages haftbar gemacht werden.
So finden und wählen Sie den besten Schweiz-Vertreter
Ihre Vertretung in der Schweiz ist sowohl gegenüber Aufsichtsbehörden als auch Betroffenen erster Ansprechpartner. Deswegen sollten Sie bei der Wahl des Schweiz-Vertreters vor allem auf juristische Professionalität und kommunikative Fähigkeiten achten. Immerhin geht es hierbei um die Reputation Ihres Unternehmens in einem der lukrativsten Märkte Europas.
Darüber hinaus ist es vorteilhaft, wenn Ihr Schweiz-Vertreter ein umfangreiches Verständnis für Ihre Datenflüsse und -verarbeitungen mitbringt. Nachweisbare Erfahrungen aus verschiedenen Branchen sowie im Umgang mit Aufsichtsbehörden und ggfs. vor Gericht sind dringend anzuraten.
Unser Partner activeMind.ch bietet Unternehmen die Bestellung eines Experten als Schweiz-Vertreters. Profitieren Sie jetzt von langjähriger Erfahrung mit dem Schweizer Datenschutzgesetz und der DSGVO in einem!