Vor Vertragsstart findet ein telefonisches Beratungsgespräch mit einem unserer zertifizierten Datenschutzexperten statt, bei dem wir Ihrem Unternehmen das passende Leistungspaket zuordnen. Hieran anknüpfend schicken wir Ihnen unseren Beratervertrag zu. Sobald Sie uns diesen unterschieben zukommen lassen, kann unser Service für Sie beginnen.

Verträge starten zum 1. des jeweiligen Folgemonats.

Unsere Verträge haben immer eine Laufzeit von 12 Monaten.

Neben existierenden Kunden in der Schweiz, agieren wir bereits in ganz Deutschland als externer Datenschutzbeauftragter für zahlreiche verschiedene Unternehmen. Unser Team besteht aus Volljuristen, technischen Entwicklern, IT-Spezialisten sowie Betriebswirten. Ziel ist es, das Thema Datenschutz in Ihrem Unternehmen möglichst einfach und effizient zu halten und dabei immer auf die neuesten Technologien zu setzen. Unsere eigens entwickelte Software-as-a-Service (SaaS) Plattform Proliance 360 ist dabei die Schnittstelle zwischen Ihnen und uns.

Durch die Datenschutzgrundverordnung (DSGVO) wurde erstmals der Datenschutz in der gesamten EU auf ein einheitliches Niveau gebracht. Das hat umfangreiche Auswirkungen auf Unternehmen, die in irgendeiner Weise mit personenbezogenen Daten arbeiten. Neben zahlreichen zusätzlichen Pflichten wurde mit der Anwendbarkeit der DSGVO seit dem 25. Mai 2018 insbesondere auch der Bussgeldrahmen für Datenschutzverstösse deutlich angehoben. Künftig können, je nach Schwere des Verstosses, Bussgelder in Höhe von bis zu 4 Prozent der Jahresumsätze des Unternehmens oder bis zu 20 Millionen Euro verhängt werden, je nachdem welcher der Beträge höher ist. Auch Unternehmen in Drittländern können hiervon betroffen sein, weshalb unser Angebot auch Schweizer Kunden bei einer bestmöglichen Umsetzung helfen soll.

Falls Ihre Frage nicht beantwortet wurde, melden Sie sich einfach kurz bei uns!

Sie erreichen uns telefonisch unter: +41 (0)44 51 24 25 1 oder per
E-Mail: info@datenschutzexperte.ch

Unabhängig von der lokalen Schweizer Datenschutzrechtslage, treffen die Regeln der DSGVO zur Benennung eines Datenschutzbeauftragten auch viele Schweizer Unternehmen. Grundsätzlich gilt es hier zwei Fälle zu betrachten.

1. Ein Schweizer Unternehmen betreibt eine Niederlassung in einem EU-Land:
Hier sind in jedem Fall die Regeln der DSGVO und die jeweils geltenden länderspezifischen Massgaben zur Bestellungspflicht eines Datenschutzbeauftragten einzuhalten. In Deutschland greift die Bestellungspflicht zum Beispiel sobald mindestens zehn Personen (dazu zählen auch Freelancer, Praktikanten, ...) z.B. Zugriff auf Outlook haben.

2. Ein Schweizer Unternehmen ohne Niederlassung in der EU hat Kunden/ Interessenten/ Geschäftspartner in der EU (Website reicht). Es werden keine besonderen Kategorien personenbezogener Daten verarbeitet:
In diesem Fall, muss ein EU-Vertreter benannt werden.

Neben Einhaltung des für alle Schweizer Unternehmen massgeblichen "Eidgenössischen Datenschutzgesetz" erstreckt sich das Recht der DSGVO durch die Einführung des Marktortprinzips auch auf Länder ausserhalb der EU und des EWR, wenn personenbezogene Daten von Personen, die sich in der EU aufhalten, in sogenannten Drittländern, verarbeitet werden (Art. 3 Abs. 2 DSGVO).

Da die Schweiz als Drittland zählt, fällt auch diese unter die DSGVO sobald personenbezogene Daten einer Person, die sich in der EU aufhält, verarbeitet werden. Dies ist auch schon der Fall, wenn kostenfreie Angebote mit Bezug auf personenbezogene Daten angeboten werden (beispielsweise Newsletter) oder beim Tracking von Daten von EU-Bürgern - unabhängig davon, wo eine Website betrieben wird.

Nach der seit dem 25.05.2018 in der gesamten EU anwendbaren Datenschutz-Grundverordnung (DSGVO), kann sich der Anwendungsbereich nach dem Marktortprinzip auch auf Unternehmen ohne Niederlassung in der EU erstrecken. So können nach Art. 27 Abs. 1 DSGVO Unternehmen, welche in der EU tätig sind aber ausserhalb der EU Ihre Niederlassung haben, schriftlich einen EU-Vertreter benennen.

Dieser dient nach Art. 27 Abs. 4 DSGVO insbesondere Aufsichtsbehörden oder Betroffenen bei sämtlichen Anfragen im Zusammenhang mit der DSGVO als Ansprechpartner.

Der EU-Vertreter dient nach Art. 27 Abs. 4 DSGVO als zusätzliche Anlaufstelle für Aufsichtsbehörden und betroffene Personen bei sämtlichen Anfragen im Zusammenhang mit der Gewährleistung der Einhaltung der DSGVO.

So kann ein EU-Vertreter zum Beispiel von den Aufsichtsbehörden angewiesen werden, alle Informationen bereitzustellen, welche für die Erfüllung der Aufgaben der Aufsichtsbehörden nötig sind. Sollten Informationen nicht verfügbar sein, muss der EU-Vertreter diese beim zu vertretenen Unternehmen einholen.

Nach Art. 27 Abs. 3 DSGVO muss der EU-Vertreter in einem der EU-Mitgliedsstaaten niedergelassen sein, in denen sich der von der Datenverarbeitung betroffene Personenkreis befindet. Der EU-Vertreter kann eine natürliche oder juristische Person sein.

Wenn der EU-Vertreter seinen Sitz beispielsweise in Deutschland haben soll, müssen mindestens auch Daten von Bürgern mit deutschem Wohnsitz verarbeitet werden.

Gibt es mehrere Mitgliedstaaten, die dabei in Frage kommen, ist innerhalb dieses Rahmens eine freie Ortswahl möglich. Die Benennung des EU-Vertreters im Unternehmen muss zudem schriftlich erfolgen (Art. 27 Abs. 1 DSGVO). Der Vertretene erteilt dem Datenschutzvertreter durch Ausstellung einer entsprechenden Vollmacht die Befugnis, im Namen des Vertretenen zu handeln. Nur dann kann der EU-Vertreter seine Funktion als Ansprechpartner und Anlaufstelle ordnungsgemäss erfüllen (Art. 27 Abs. 4, Erwgr. 80 DSGVO).

Mit der Benennung eines EU-Vertreters erfüllt ein Unternehmen zunächst das massgebende Recht der DSGVO. Die Haftung des vertretenen Unternehmens entfällt nicht mit der Bestellung eines EU-Vertreters. Auch nach der Benennung des EU-Vertreters, trägt der Verantwortliche des vertretenen Unternehmens nach Art. 27 Abs. 5 DSGVO selbst die Verantwortung für die Einhaltung der DSGVO.

Sollten die Gesetze geändert werden, passen wir unser Angebot dementsprechend an, um Ihnen weiterhin einen optimalen Datenschutz zu ermöglichen.

Unter personenbezogenen Daten versteht man nach DSGVO jene Daten, die Rückschlüsse auf eine natürliche Person erlauben. In der DSGVO ist die Definition von personenbezogenen Daten weiter gefasst als bisher. Sie umfassen nach Art. 4 Nr. 1 DSGVO alle Informationen zur genetischen, geistigen, wirtschaftlichen, kulturellen und sozialen Identität einer identifizierten oder identifizierbaren Person.

Zu besonderen Kategorien personenbezogener Daten gehören nach Art. 9 Abs. 1 DSGVO Angaben zur rassischen und ethnischen Herkunft, zu politischen Meinungen, zu religiösen oder weltanschauliche Überzeugungen, zu einer Gewerkschaftszugehörigkeit, zur Gesundheit, zum Sexualleben oder sexuellen Orientierung, sowie genetische und biometrische Daten.

Werden personenbezogene Daten einer natürlichen Person verarbeitet, so ist diese im Sinne der DSGVO „betroffen“. Betroffene/r kann also nur ein Mensch sein.

Der/dem Betroffenen stehen, sofern eine Verarbeitung ihrer/seiner Daten stattfindet, unterschiedliche Rechte zu, welche in den Art. 12 bis 23 DSGVO umfassend geregelt sind.

Zu den wichtigsten Betroffenenrechten zählen unter anderem das Recht auf Auskunft, Löschung („Vergessenwerden“), Berichtigung sowie das Widerspruchsrecht und der Widerruf der Einwilligung.

Der Verantwortliche ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Auftragsverarbeiter verarbeiten weisungsgebunden und vertraglich gebunden Daten für jemand anderes, den Verantwortlichen. „Klassische“ Auftragsverarbeiter sind z. B. Clouddienste-Anbieter, Werbeadressenverarbeitung durch einen Newsletter-Tool-Betreiber oder Datenträgerentsorgung durch einen Dienstleister.

Einen weit verbreiteten Irrtum stellt die Annahme dar, die DSGVO gelte nur im europäischen Raum. Dementgegen regelt Art. 3 DSGVO, dass diese auch dann Anwendung findet, sobald:

... die Verarbeitung von personenbezogenen Daten durch einen Verantwortlichen mit Niederlassung in der EU geschieht, unabhängig davon, ob die Verarbeitung in der Union stattfindet (also auch in einem Drittland!),

... der Verantwortliche seinen Sitz ausserhalb der EU hat, aber Waren oder Dienstleistungen in der Union anbietet und

... der Verantwortliche seinen Sitz ausserhalb der EU hat, aber das Verhalten betroffener Personen beobachtet, die sich innerhalb der Union aufhalten.

Im Verzeichnis von Verarbeitungstätigkeiten wird dokumentiert, welche Kategorien von personenbezogenen Daten aktuell im Unternehmen verarbeitet werden und wie diese geschützt werden. Im Rahmen der Verarbeitung „Bewerbermanagement“ beispielsweise wird dokumentiert, welche Bewerberdaten gespeichert werden, auf welcher Rechtsgrundlage diese verarbeitet werden, wer Zugriff auf diese Daten hat, woher diese Daten kommen, wie diese wieder gelöscht und geschützt werden.

Technische und organisatorische Massnahmen sind alle Schutzmassnahmen, die innerhalb eines Unternehmens eine sichere Verarbeitung von personenbezogenen Daten gewährleisten. Diese müssen in Hinblick auf Art und Umfang der verarbeiteten Daten auch wirtschaftlich vertretbar sein.

Technische Massnahmen:
Alle Massnahmen, die sich umsetzen lassen, etwa durch bauliche Massnahmen wie Alarmanlagen oder durch Soft- und Hardwarevorgaben wie etwa passwortgeschützte Benutzerkonten. Die technischen Massnahmen beziehen sich auf den Datenverarbeitungsvorgang und damit die Verarbeitungstätigkeit selbst.

Organisatorische Massnahmen:
Alle Massnahmen, die Regeln und Vorgaben betreffen, die Mitarbeiter zur Einhaltung des Datenschutzes anhalten. Dies kann beispielsweise durch Handlungsanweisungen, Dienstanweisungen und Betriebsvereinbarungen erfolgen. Diese beziehen sich auf den äusseren Ablauf bzw. die äusseren Rahmenbedingungen des Datenverarbeitungsvorgangs.

Ein Auftragsverarbeitungsvertrag regelt den Austausch von personenbezogenen Daten zwischen Auftraggeber und Auftragnehmer. Grundsätzlich muss mit jedem Dienstleister ein Auftragsverarbeitungsvertrag abgeschlossen werden, sofern der Dienstleister potentiell Zugang zu personenbezogenen Daten hat und die Daten ausschliesslich auf Anweisung des Verantwortlichen und zu Zwecken des Verantwortlichen verarbeitet. Verantwortlicher ist derjenige, der allein oder gemeinsam mit anderen über die Mittel und Zwecke der Verarbeitung personenbezogener Daten entscheidet. Hierbei kommt es massgeblich auf die Entscheidung über die Verarbeitungszwecke an, während die Entscheidung über die technischen und organisatorischen Fragen der Verarbeitung auch auf den Auftragsverarbeiter delegiert werden kann. In einem Auftragsverarbeitungsvertrag wird z.B. geregelt, welche personenbezogenen Daten eine Werbeagentur erhält, wofür diese Daten verwendet werden dürfen (beispielsweise nur um einmalige Weihnachtskarten zu verschicken) und wie diese personenbezogenen Daten von der Werbeagentur geschützt werden müssen.