1992 trat das Schweizer Datenschutz Gesetz (DSG) in Kraft. Das Gesetzt reghelt den Schutz der Persönlichkeit und der Grundrechte von Personen, deren Daten in irgendeiner Form erhoben, gespeichert, bearbeitet und verwendet werden.

1992 gab es zwar das Internet bereits, doch es wurde noch kaum kommerziell genutzt. Die Dynamik der gegenwärtigen Digitalen Entwicklung konnte sich damals noch kaum jemand vorstellen. Das alte Gesetzt wurde also der heutigen Situation dieses ausnahmslos durchgängigen Datenflusses in keiner Weise gerecht.

Per 1. September 2023 wird nun das neue DSG eingeführt. 

Es soll aktuellen Sicherheitsrisiken Rechnung tragen und Unternehmen Leitplanken für den Schutz sensitiver Informationen bieten. Ein zusätzliches Ziel war die Harmonisierung des DSG mit der Datenschutz-Grundverordnung (DSGVO) der EU. So soll sichergestellt werden, dass der freie Datenverkehr mit der EU weitergeführt werden kann und Schweizer Unternehmen wettbewerbsfähig bleiben.

Neu müssen Unternehmen beispielsweise Begründen, weshalb Informationen über Kunden gesammelt werden, sie müssen offenlegen, welchen Dritten diese Informationen zugänglich gemacht werden. Natürliche Personen haben das absolute Recht zu erfahren, zu welchen Zwecken ihre Daten verwendet und wie lange sie gespeichert werden. Zudem kann jede Person ohne Angaben von Gründen die Berichtigung von fehlerhaften Daten verlangen.

Die neuen Compliance-Anforderungen bzw. die Regelkonformität gilt für alle in der Schweiz ansässigen und internationalen Unternehmen, welche Güteer und Dienstleistungen für Schweizer Firmen und Bürger:innen bereitsstellen oder sensitive Daten über diese verarbeiten.

Vorderhand denkt man schnell einmal an medizinische Unterlagen, genetisches Material in Verbindung mit politischen Ansichten etc. Doch Unternehmen in der Hotellerie und Gastronomie sollten die Situation nicht unterschätzen. Bei der Erhebung von Gästedaten entstehen schnell heikle Kombinationen die Rückschlüsse auf ein Individum erlauben. Der Name und die Emailadresse sind das eine. Kommt aber noch beispielsweise das Geburtsdatum und eine Kulinarische Vorliebe oder die Zugehörigkeit zu einem Verein dazu, sind dieses Daten als sensitiv zu betrachten.

Jeder Unternehmer muss diese Daten auf Anfrage transparent offenlegen und entsprechend anpassen bzw. löschen können.

Nachfolgend die wichtigsten Änderungen:

Erweiterte Nutzereinwilligung
Endnutzer müsse sich bewusst sein können, über die Verwendung ihrer Daten und der Zustimmung zur Datenerfassung. Gibt eine betroffene Person ihre Einwilligung, müssen ihr Unternehmen klar kommunizieren, welche Rechte und Möglichkeiten sie hat. WICHTIG: Unternehmen müssen klare Informationen über die Erhebung, Speicherung, Verarbeitung und Nutzung der Daten bereitstellen sowie Massnahmen gemäss den Datenschutzpräferenzen der Person ergreifen, ohne diese nach Gründen zu fragen oder aufzufordern, ihren Entscheid zu überdenken.

Verbessertes Auskunftsrecht betroffener Personen
Das neue DSG ermöglicht es betroffenen Personen, ihr Auskunftsrecht auch wirklich wahrzunehmen. Sie müssen keine persönlichen oder Informationen darüber preisgeben, wie sie mit der Person, die ihre Daten verarbeitet hat, in Verbindung stehen. Jede natürliche Person kann Details zu den Daten verlangen, die ein Unternehmen von ihr erfasst und speichert, insbesondere:

- Welche persönlichen Informationen ein Unternehmen über einen Endnutzer besitzt
- Wie es diese verwendet
- An wen es diese weitergibt und
- Wie es diese erhebt

Jede Person kann die Verarbeitung ihrer Daten ablehnen, wenn kein berechtigtes Interesse daran besteht oder sie sich gegen die Weitergabe ihrer Daten entscheidet. 
£Ein berechtigtes Interesse, das z.B. gegen eine Löschung der Daten sprechen könnte, ist die Gesetzliche Aufbewahrungspflicht geschäftlicher Unterlagen.

Härtere Abstrafungen
Achtung: Bestraft werden nicht die Unternehmen sondern die Verantwortlichen Personen.
Mit dem neuen DSG erhält der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) einen grösseren Handlungsspielraum gegenüber Unternehmen, die die neuen Standards nicht erfüllen. Im Gegensatz zu den europäischen Datenschutzbehörden hat die EDÖB allerdings keine Sanktionsbefugnisse, das ist Sache der kantonalen Strafverfolgungsbehörden. Der EDÖB kann im Bedarfsfall lediglich Anzeige erstatten.
Strafbar sind vorsätzliches Handeln und Unterlassen sowie die Missachtung von Informations- und die Verletzung von Sorgfaltspflichten, nicht aber Nachlässigkeit. 
Gebüsst wird grundsätzlich die verantwortliche natürliche Person. Bei Verstössen drohen privaten Personen also Bussen von bis zu CHF 250'000. Das Unternehmen selbst kann mit bis zu CHF 50’000 gebüsst werden, wenn die Ermittlung der strafbaren natürlichen Person im Unternehmen einen unverhältnismässigen Aufwand erfordern würde.

Meldepflicht bei Verletzungen
Ist ein Unternehmen einem Cyberangriff ausgesetzt oder die Datensicherheit wurde Verletzt, besteht für Unternehmen eine sofortige Meldepflicht. Diese Vorfälle müssen der EDÖB und allen betroffenen Parteien gemeldet werden. Die Verantwortlichen für die Daten bzw. für die Datensicherheit müssen sich dabei an folgende Schritte halten:

- Vorfall sofort dem EDÖB melden
- Art der Datenschutzverletzung beschreiben
- Mögliche Folgen beschreiben
- Abhilfemassnahmen entwickeln und Risiken für Betroffene minimieren
- Betroffene über die Datenschutzverletzung informieren

Datenschutz durch Design und durch Standards
Nach dem neuen DSG muss schon in der Planung und im Design von Applikationen ( Anwendungssoftware und Computerprogramme) die Privatsphäre der Nutzer in die Planung mit einbezogen werden. Es gilt das «Security first» Prinzip. Sicherteitsanwendungen sollen nicht mehr erst nachträglich oder gar erst nach einem Vorfall erarbeitet oder nachgebessert werden. So entwickeln Unternehmen Applikationen nach dem «Security first»-Prinzip, anstatt die Sicherheits-Features nachträglich oder gar erst nach einem Vorfall zu verbessern.

Obligatorisches Verzeichnis der Verarbeitungstätigkeiten
Das Führen eines Verzeichnisses der Verarbeitungstätigkeiten ist obligatorisch. Dazu reicht im Prinzip eine einfache Tabelle welche Daten zu welchem Zweck wo und wie lange gespeichert werden. Ausnahmen sind möglich für KMU, deren Datenbearbeitung ein geringes Risiko mit sich bringt, die Persönlichkeit von betroffenen Personen zu verletzen.
Datenschutz-Folgeabschätzung
Private und behördliche verantwortliche Datenbearbeiter müssen eine Datenschutz-Folgenabschätzung (DSFA) erstellen, wenn bei Personendatenbearbeitungen ein potenziell hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen erkennbar ist.