Neues Schweizer Datenschutzgesetz 2022: was müssen Webseitenbetreiber und Firmeninhaber wissen?

Governance bedeutet so viel wie Führung. In diesem Fall geht es darum, dass innerhalb der Organisation klar definiert und auch schriftlich festgehalten ist, wer wie für welche Daten zuständig ist. Das beinhaltet die folgenden Punkte im Detail:

• Das Führen von Datenverarbeitungsinventaren ist Pflicht, ausser das Unternehmen ist kleiner als 250 Personen oder es besteht nur ein geringes Risiko für die Datenverarbeitung der betroffenen Person (Artikel 12, Absatz 5 nDSG).
  
  Dieses “geringe Risiko” wird nirgends definiert. Via Umkehrschluss kann man aber davon ausgehen, dass alle Aspekte, die nicht wesentlich sind (siehe weisse Box oben), darunter fallen. Der gesunde Menschenverstand sagt mir aber, dass bei den wesentlichen Aspekten durchaus der eine oder andere Begriff vergessen gegangen sein kann. Dem Grundgedanken folgend ist es demnach sinnvoll, kein unnötiges Risiko einzugehen und Daten lieber einmal mehr als weniger als hochriskant einzustufen.
  
  In diesen Inventaren sollen erfasst werden (Artikel 12, Ziffer 2 nDSG):
  • Identität des Datenbearbeitenden
  • Zweck der Datenbearbeitung
  • Kategorien der bearbeiteten Personendaten
  • Kategorien der Empfänger und Empfängerinnen (Z.B. kommerzielle Zwecke, wenn ja welche Branche)
  • Bei Auslandstransfer der Daten derjenige Staat, in den die Daten übermittelt werden
    
    
• Meldepflicht von Datenverlusten und anderen Sicherheitsverstössen und Pflicht zur Vornahme von Datenschutz-Folgenabschätzungen (Artikel 12, 22 und 24 nDSG). Siehe dazu auch die Punkte Informationspflicht und Folgenabschätzung etwas weiter unten.

Da das “und” in diesem Titel das einzige deutsche Wort ist, übersetze ich das mal eben:

• Privacy by Design meint, dass die technischen Voreinstellungen datenschutzfreundlich sind. Das bedeutet beispielsweise, dass nur das gesammelt wird, was auch tatsächlich gesammelt werden muss und dass bei den omnipräsenten Cookie Banner jeweils alle Einstellungen standardmässig abgewählt sein müssen.
• Privacy by Default meint, dass die Bearbeitung der Daten auf ein Minimum beschränkt wird. Warum? Je mehr Augen, Hände und Programme die Daten durchlaufen, desto grösser die Chance, dass Fehler passieren oder unnötige Aggregation betrieben wird.

Als Grundsatz kann man sich hier den Gedanken mitnehmen, dass die Standardeinstellung und das Standardvorgehen immer das sein soll, was die Privatsphäre am wenigsten verletzt.

Was ist Profiling? Die Erstellung eines Profils basierend auf Daten. In Zeiten der Digitalisierung ist das schiere Ausmass und die Automatisierung davon neu, weil grosse Datenmengen maschinell verarbeitet werden.

Beispiel: Eine automatische Lohnerhöhung aufgrund von Leistungsdaten eines Individuums. (Profiling wird in Artikel 5, Absatz f nDSG definiert.)

Neu ist, dass für Profiling mit hohem Risiko eine ausdrückliche Einwilligung vorliegen muss (Artikel 6 nDSG).

Das ist keine Pflicht, sondern eine Möglichkeit. “Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen” (Artikel 10, Ziffer 1 nDSG).

Nach Artikel 10, Ziffer 2 hat diese Person oder haben diese Personen zwei Aufgaben:

• Schulung und Beratung des privaten Verantwortlichen in Fragen des Datenschutzes
• Mitwirkung bei der Anwendung der Datenschutzvorschriften

Ausländische Unternehmen müssen eine Vertretung in der Schweiz bestimmen, wenn die Datenbearbeitung umfangreich und regelmässig ist und ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt (Artikel 14, Ziffer 1 b, c und d).

Jegliche Datenbeschaffung obliegt nun der Informationspflicht. (Und nicht mehr nur besonders schützenswerte Daten. Siehe Artikel 19, 20 und 21 nDSG.)

Artikel 19, Ziffer 2 a, b und c nDSG sagen ausserdem, dass mindestens die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und Dritte oder die Kategorien Dritter, denen Personendaten bekannt gegeben werden, den betroffenen Personen mitgeteilt werden müssen.

Der einfachste und effizienteste Weg, das zu bewerkstelligen, ist mit einer Datenschutzerklärung. Wir bieten unseren Kunden jeweils eine Vorlage für die Datenschutzerklärung auf ihren Webseiten. Die Idee dabei ist nicht ein simples Copy & Paste, sondern die Anpassung und Ergänzung der Vorlage mit kunden- und projektspezifischen Daten.

Nachfolgende Informationen müssen in jedem Fall auf Anfrage mitgeteilt werden (Artikel 25, Ziffer 1 und 2 a, b, c, d, e, f und g):

1. die Identität und die Kontaktdaten des Verantwortlichen;
2. die bearbeiteten Personendaten als solche;
3. der Bearbeitungszweck;
4. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
5. die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
6. gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
7. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.

Punkt 6 wartet mit der rechtlichen Beschreibung für eine vom Computer gefällte Entscheidung auf. “Automatisierte Einzelentscheidung” bedeutet schlicht, dass Programme über die Daten entscheiden. Die dahinterstehende Logik dürfte insbesondere bei selbstlernenden Algorithmen für Kopfzerbrechen sorgen. Aber da steht ja auch noch das Wörtchen “gegebenenfalls”. Wie genau dieses Gesetz also zur Anwendung kommen wird, ist offen.

Noch zu Punkt 7: Artikel 19, Absatz 4 ergänzt hier prinzipiell nur, dass dieselben Informationen, also die Empfängerinnen und Empfänger sowie deren Kategorien, mitgeteilt werden, wenn Personendaten ins Ausland bekannt gegeben werden.

“Bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten” und “wenn systematisch umfangreiche öffentliche Bereiche überwacht werden” muss von den Datenschutzverantwortlichen eine Datenschutz-Folgenabschätzung ausgearbeitet werden, welche “eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte” enthält (Artikel 22 nDSG).

Davon ausgenommen ist man in zwei Fällen: wenn man als Berufs- Branchen- oder Wirtschaftsverband den Statuten entsprechend zur Wahrung der wirtschaftlichen Interessen seiner Mitglieder befugt ist und dem EDÖB Verhaltenskodizes vorgelegt hat oder aber ein vom Bund zertifiziertes Datenverarbeitungssystem benutzt (Artikel 22, Absatz 5 nDSG).

Eine weitere Ausnahme bildet die gesetzliche Verpflichtung zur Datenbearbeitung, was bedeutet, dass zum Beispiel Rechtsorgane davon ausgenommen sind. (Siehe dafür den gesamten Artikel 4.)

“Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so holt er vorgängig die Stellungnahme des EDÖB ein” (Artikel 23, Absatz 1).

Kurz und verständlich: Es muss klar sein, was mit den gesammelten Daten passieren kann. Benutzt man Software, die vom Schweizer Staat nicht zertifiziert wurde oder falls die Datensammlung ein Risiko für die zu schützende Person darstellt, muss die Stellungnahme des EDÖB eingeholt werden oder aber mindestens eine Folgenabschätzung verfasst werden.

Liegt eine Verletzung der Datensicherheit vor, beispielsweise wenn Daten gestohlen, versehentlich gelöscht oder durch Dritte verbreitet werden, muss das dem EDÖB so rasch wie möglich gemeldet werden (Siehe Artikel 24).

Zudem führt Google ein neues Kohortenprinzip ein: Surfende werden bald neu via Browser in Kohorten eingeteilt, was im Rahmen des Datenschutzes durchaus problematisch sein kann. (Google nennt das FLoC, also Federated Learning of Cohorts).

Was, wenn diese Kohorten unabsichtlich die Religion, das Geschlecht, die Sexualität, politische Einstellungen oder andere heikle Daten beinhalten? Und was, wenn beispielsweise in der Öffentlichkeit aufgrund dieser Informationen personalisierte Werbung ausgespielt wird? Entspricht die individuelle Weltanschauung nicht derjenigen der gesellschaftlichen Umgebung, in welcher man sich gerade befindet, kann das schnell problematisch werden.

Google preist diese Kohortentechnologie als die Erlösung von der Cookie-Ära an, ich hingegen sehe dahinter haufenweise Probleme. Es ist abzuwarten, wie Google diese Idee umsetzen wird. Das Projekt «Privacy Sandbox» ist noch nicht voll funktional und auch noch nicht global ausgerollt worden. Um sich vor rechtlichen Schritten zu schützen empfiehlt es sich deswegen einmal mehr, die eigenen Webseitenbesucher transparent und verständlich zu informieren und ausdrücklich um Erlaubnis für die Sammlung und Verarbeitung ihrer Daten zu bitten.

Auf GitHub wird im Abschnitt “Evolution from FLoC” erklärt, warum das FLoC Konzept infolge von (lautstarker) Kritik geändert und im mit der “Topics API” ersetzt wurde. Die Hauptkritikpunkte umfassten

• die fehlende Transparenz und Kontrolle via UX (welche Nutzerdaten wie gesammelt werden)
• Fingerprinting (Erstellung eindeutiger Nutzerprofile)
• dass Kohorten sensitiven Themengebieten zugeordnet werden können (was wie oben gezeigt vorausgesehen werde konnte)
• das automatische Sammeln von Browseraktivitäten auf Webseiten mit Werbung (dafür muss neu die API verwendet werden)

Gibt es nun keine Kohorten mehr? Doch. Die interessenbasierte Schaltung von Werbung ist das lukrative Geschäftsmodell schlechthin. Google und andere Akteure werden keine Mühen scheuen, um diese Einnahmequelle aufrecht zu erhalten und auszubauen. Das bedingt die Einteilung in irgendeine Form von Interessengruppen.

Die API funktioniert so, dass der Browser die Themen einer Webseite auslesen kann. Das soll sowohl über ein browserinternes Klassifikationsmodell als auch über seiteneigene Tags, z.B. in Form von Meta Tags, Headern oder JavaScript geschehen. Pro Woche werden dann aufgrund von Browseraktivitäten fünf Themen berechnet und pro Nutzer:in zugewiesen. Dabei gibt es noch einige Pseudorandomisierungen, welche es Webseiten erschweren sollen, dieselben Nutzer:innen über mehrere Webseiten hinweg zuzuordnen.

Interessanterweise soll es ziemlich einfach werden, dieses Profiling zu verhindern. Nur “gültige” Seitenbesuche können vom Browser zur Berechnung der Themen verwendet werden. Eine Nutzerentscheidung oder ein Site Response Header kann einen Seitenbesuch als ungültig erklären. Technisch gesehen soll auch der Inkognito-Modus, das Löschen der Browser History und die Blockierung der API zu einer Interessenliste mit null Einträgen führen.

Da es sich dabei aber um laufende Arbeiten handelt, ist die genaue Funktionsweise noch offen. Vermuten kann ich allerdings, dass die Standardeinstellung von Chrome zur Sammlung von Interessen “Ja” lauten wird und dass die Sammlung eine Bedingung zur Nutzung von Google Diensten sein wird.

Das Beispiel oben geht nämlich davon aus, dass die Nutzer:innen nicht eingeloggt sind. Sobald sie eingeloggt sind, besteht die Möglichkeit einer eindeutigen Zuordnung von Interessen und Browseraktivitäten über einen längeren Zeitraum als eine Epoche (eine Woche). Ein Grund mehr, der grössten Lüge des Internets zu trotzen und sich die Geschäftsbedingungen gründlich durchzulesen, bevor man auf “Einverstanden” klickt und dem neuen Tracking Tür und Tor öffnet.

Zusammen mit dem oben erwähnten Schweizer Sonderweg ergibt sich ein neues Bild: Solange die Daten nicht besonders schützenswert sind oder Profiling mit hohem Risiko betrieben wird, dürfen Daten ohne Einwilligung gesammelt werden. Das Problem ist die Grauzone, ja das Durcheinander aus internationalem Recht, Ermessensspielraum und technischen Feinheiten: USA vs. DSGVO vs. Bünzlirecht. Gibt es überhaupt eine einzige Lösung für diesen Papierkrieg? Oder anders:

Allerdings umfasst dieser Vorsatz auch eine Inkaufnahme. Die Abwägung zwischen Wirtschaftlichkeit, Vernunft und Rechtskonformität wird eine Gratwanderung: sollen alle gesetzlichen Anforderungen erfüllt werden, wird viel Zeit investiert werden müssen.

Ich denke, dass es nicht unwahrscheinlich ist, dass sich ein Mittelweg einpendeln wird und den Beteiligten bewusst ist, dass sie nicht alle Auflagen erfüllen oder erfüllen können. Hier wäre eine deutlichere Trennung zwischen Vorsatz und den nicht immer rational handelnden Menschen und der allgemeinen Machbarkeit sinnvoll.

Da die Ernennung von Datenschutzberatern freiwillig (Artikel 10, Ziffer 1 nDSG), das Führen von Datenverarbeitungsinventaren inklusive der Identität der Datenbearbeitenden jedoch bis auf gewisse Ausnahmen Pflicht ist (Artikel 12, Absatz 5 nDSG), ist abzuwarten, wie sich das in der Praxis in Firmen auswirkt.

Der EDÖB beschreibt das in seiner Stellungnahme: «Neu kann aber auch das Unternehmen selbst bis zu CHF 50’000 gebüsst werden, wenn die Ermittlung der strafbaren natürlichen Person innerhalb des Unternehmens oder der Organisation einen unverhältnismässigen Untersuchungsaufwand mit sich ziehen würde» (Das neue Datenschutzgesetz aus Sicht des EDÖB, Absatz 21). Das entspricht dem Gesetzestext unter Artikel 64, Absatz 2 nDSG.

Widersinnig ist ebenfalls das in Artikel 25 beschriebene Auskunftsrecht: «In jedem Fall werden ihr [der betroffenen Person, die Auskunft verlangt] folgende Informationen mitgeteilt: a. die Identität und die Kontaktdaten des Verantwortlichen» (nDSG, Artikel 25, Absatz 2). Das impliziert die Notwendigkeit zur Ernennung von Datenverantwortlichen.

Für mich logisch wäre eine Pflicht zur Ernennung von Datenschutzverantwortlichen à la DSGVO Artikel 37 innerhalb von Firmen und das Büssen der Firma anstatt einer einzigen Person. Aktuell ist das nicht der Fall, da die freiwilligen Datenschutzberater innerhalb von Firmen als Anlaufstelle für betroffene Personen und die Behörden dienen. Möglicherweise werden das die kantonalen Bestimmungen noch genauer regeln.

Ebenfalls neu ist Bestrafung der beruflichen Schweigepflicht mit CHF 250’000: Die vorsätzliche Veröffentlichung von geheimen Personendaten ist strafbar, auch nach Beendigung der Berufsausübung oder der Ausbildung (nDSG Artikel 62). Wie sich die besonders schützenswerten Daten von den geheimen Personendaten abgrenzen, ist für mich nicht klar. Ebenfalls offen ist die Linie zwischen dem Berufsgeheimnis und dem Datenschutzgesetz als solches. Ich verweise bei so viel Unklarheiten gerne auf den Absatz «Was muss ich tun?».