EU-DSGVO: Sind Schweizer Unternehmen bereit?

Noch bis am 25. Mai 2018 – also noch knapp drei Monate – haben Schweizer Unternehmen Zeit, die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) umzusetzen. Diese gilt nicht nur für Unternehmen mit Sitz in der EU, sondern auch für Unternehmen ausserhalb der EU. Die DSGVO gilt auch für Schweizer Unternehmen, die in der EU eine Niederlassung haben (Niederlassungsprinzip). Die Rechtsform der Niederlassung ist nicht relevant, es kann sich um eine Tochtergesellschaft, eine Zweigniederlassung oder auch bloss um eine Agentur handeln. Die Niederlassung untersteht für die Verarbeitung von Personendaten im Zusammenhang mit ihren Tätigkeiten der DSGVO und zwar selbst dann, wenn die Datenverarbeitung nicht in der EU durchgeführt wird, sondern am Hauptsitz in der Schweiz, z. B. wenn die Niederlassung ein ERP- oder CRM-System nutzt, das zentral am Hauptsitz betrieben wird.

Auch sind Schweizer Unternehmen der DSGVO unterstellt, die zwar keine Niederlassung in der EU haben, aber Per­sonen, die sich in der EU befinden, Angebote für Waren oder Dienstleistungen machen (Marktortprinzip) – selbst wenn diese unentgeltlicher Natur sind. Eine Website gilt als solche jedoch noch nicht als Angebot. Erst wenn deren Ausgestaltung (z. B. bei Zahlungsmöglichkeit in Euro, bei Angaben von Lieferfristen für Besteller in der EU, Verwendung von EU-Sprachen, die keine schweizerische Landessprache sind, beispielsweise Spanisch oder Polnisch) den Eindruck erweckt, dass der Betreiber offensichtlich beabsichtigt, Personen in der EU Waren oder Dienstleistungen anzubieten, gilt die DSGVO für das Schweizer Unternehmen.

Als Drittes knüpft die DSGVO an die «Verhaltensbeobachtung» von Internetnutzern aus der Europäischen Union an. Darunter fällt unter anderem auch das Webtracking, sofern sich dieses nicht ausschliesslich auf Daten stützt, die keinen Personenbezug erlauben.

Schweizer Unternehmen, die der DSGVO unterstellt sind, müssen einen Vertreter bestellen, der in einem EU-Land niedergelassen ist, in dem sich durch die Datenverarbeitung des Unternehmens betroffene Personen befinden. Dieser dient als Anlaufstelle für die Aufsichtsbehörde bei Fragen bezüglich der Einhaltung des Datenschutzrechts.