Das revidierte Gesetz betrifft nur noch Daten natürlicher Personen. Die Daten juristischer Personen – wie die einer AG oder einer GmbH – fallen nicht mehr unter das DSG.

Das neue Datenschutzgesetz geht über das vorher gültige hinaus und umfasst zusätzliche Personendaten, die als besonders schützenswert gelten. Dazu gehören neu Daten über die Ethnie sowie genetische und biometrische Daten. Zu den genetischen Daten gehören Informationen über das Erbgut einer Person, die zum Beispiel durch Gentests gewonnen werden. Beispiele für biometrische Daten sind der Scan des Fingerabdrucks oder der Netzhaut. Daten über die Gesundheit, über religiöse, weltanschauliche oder politische Ansichten, zu strafrechtlichen Verfolgungen oder über die Zugehörigkeit zu einer Rasse bleiben wie im alten DSG besonders schützenswerte Personendaten.

Das neue Gesetz gilt in erster Linie für Unternehmen und Organisationen in der Schweiz. Es gilt aber auch, wenn Personendaten im Ausland bearbeitet werden und sich diese Datenbearbeitung in der Schweiz auswirkt. Zudem betrifft es Unternehmen im Ausland, die Dienstleistungen in der Schweiz anbieten. Sie müssen eine Vertretung in der Schweiz benennen.

Das DSG regelt neu auch das Profiling. Dabei unterscheidet es zwischen Profiling einerseits und Profiling mit hohem Risiko andererseits.

• Profiling ist jede Art der automatisierten Bearbeitung von Personendaten mit dem Ziel, bestimmte persönliche Aspekte eines Menschen zu verknüpfen, wie etwa wirtschaftliche Lage, Gesundheit, Interessen, Verhalten, Aufenthaltsort usw. Ein Beispiel hierfür sind Onlineshops, die das Surfverhalten der Nutzerinnen und Nutzer automatisiert analysieren und ihnen dann dazu passende Produkte zum Kauf empfehlen.
• Profiling mit hohem Risiko findet statt, wenn Personendaten automatisch bearbeitet werden und die Verknüpfung der Daten eine Bewertung wesentlicher Aspekte der Persönlichkeit erlaubt, also beispielsweise wenn der Betreiber eines Onlineshops die Vorlieben seiner Kundinnen und Kunden umfassend auswertet und dies Rückschlüsse auf ihren Gesundheitszustand zulässt. Dies kann ein hohes Risiko für die Persönlichkeit seiner Kundinnen und Kunden bedeuten.

Im Gegensatz zur DSGVO der Europäischen Union ist im neuen DSG nicht vorgeschrieben, dass betroffene Personen dem Profiling zustimmen müssen.

Sobald Firmen planen, Personendaten zu bearbeiten, müssen sie angemessene technische und organisatorische Massnahmen treffen, um die Grundsätze der Datenbearbeitung einzuhalten (Privacy by Design). Beispiele für solche Massnahmen sind das regelmässige Löschen von Daten oder deren standardisierte Anonymisierung.

Darüber hinaus müssen sie zweckgebundene Voreinstellungen wählen (Privacy by Default). Das bedeutet, dass sie Personendaten nur eingeschränkt beziehungsweise für den angegebenen Zweck bearbeiten dürfen. Es dürfen also keine Daten auf Vorrat gesammelt werden. Kunden von Onlineshops sollten neben ihrem Namen und ihrer Adresse keine Angaben machen müssen, die Rückschlüsse auf ihre persönlichen Vorlieben zulassen.

Unternehmen müssen ein Verzeichnis führen und alle Datenbearbeitungen darin dokumentieren. Firmen, die weniger als 250 Personen beschäftigen, sind davon ausgenommen, aber nur, wenn sie nicht im grossen Stil besonders schützenswerte Personendaten bearbeiten und kein Profiling mit hohem Risiko durchführen.

Eine Verletzung der Datensicherheit kann voraussichtlich zu einem hohen Risiko für die Persönlichkeits- und Grundrechte von betroffenen Personen führen. Ist dies der Fall, müssen Unternehmen eine solche Verletzung dem/der Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) unverzüglich melden. Sie müssen auch die betroffenen Personen informieren, wenn dies zu deren Schutz nötig ist oder wenn die/der EDÖB dies verlangt. Verletzt ist die Datensicherheit beispielsweise, wenn Daten gestohlen, gehackt oder unbefugten Personen im Unternehmen bekannt oder zugänglich gemacht werden.

Die Informationspflicht wurde im Vergleich zum früheren DSG stark ausgebaut. Sobald Firmen Personendaten erheben, müssen sie darüber informieren. Die betroffenen Personen müssen alle relevanten Informationen erhalten, damit sie von ihren Rechten aus dem DSG Gebrauch machen können und eine transparente Datenbearbeitung garantiert ist. Das neue DSG legt jedoch nicht fest, wie Firmen dies tun müssen, sondern nur, welche Informationen sie zur Verfügung zu stellen haben, nämlich:

• Identität und Kontaktdaten der/des für die Datenbearbeitung Verantwortlichen
• Zweck der Bearbeitung
• Empfänger, Empfängerland und gegebenenfalls die datenschutzrechtlichen Garantien, wenn die Personendaten ins Ausland übermittelt werden

Der letzte Punkt ist wichtig, wenn Firmen beispielsweise Angebote ihres Webshops auch via Amazon vermarkten.

Firmen können mithilfe einer Datenschutz-Folgenabschätzung Risiken für den Datenschutz erkennen und bewerten. Sie sind verpflichtet, eine solche Analyse zu machen, wenn die Datenbearbeitung voraussichtlich zu einem hohen Risiko für die Persönlichkeits- und Grundrechte der betroffenen Personen führt. Beispiele für solche «heikle» Datenbearbeitungen sind:

• die Bearbeitung besonders schützenswerter Personendaten wie Gesundheitsdaten
• die systematische umfangreiche Überwachung öffentlicher Bereiche, etwa die Überwachung einer Bahnhofshalle

Je umfangreicher die Bearbeitung von besonders schützenswerten Personendaten ist, je sensibler die bearbeiteten Daten sind und je umfassender der Bearbeitungszweck ist, umso eher ist von einem Risiko auszugehen. Firmen müssen die Datenschutz-Folgenabschätzung machen, bevor sie die Daten tatsächlich bearbeiten. Zudem müssen sie diese Analyse dokumentieren.