Abgrenzung zur DSGVO

Rosenthal: Generell lässt sich feststellen, dass das DSG weniger formalistisch ist als die DSGVO. Hierzu zählt auch, dass viele Bestimmungen der DSGVO nach dem Giesskannenprinzip funktionieren. Von der Bäckerei bis zum Techkonzern werden oft alle Unternehmen über den selben Leisten geschlagen. Daneben fallen inhaltlich sehr weit­gehende Regelungen im Governance-Bereich ebenfalls unter diesen Punkt. Ich denke da etwa an die Informationspflicht: Die DSGVO verlangt oft viel ausführlichere Datenschutzerklärungen, als nötig und sinnvoll ist.

Dann gibt es einen konzeptionellen Unterschied: In der Schweiz haben wir mit dem DSG eine sogenannte Missbrauchsgesetzgebung. Das heisst, es muss nur derjenige eine Rechtfertigung vorweisen, der Daten anders als vorgesehen bearbeiten will. Erst dann schreitet das Gesetz ein. Ganz anders unter der DSGVO: Hier muss jeder immer von vornherein begründen können, warum er überhaupt persönliche Daten verarbeitet. Dieser konzeptionelle Unterschied führt dazu, dass jede Aktivität unter der DSGVO komplizierter und aufwendiger ist als unter dem Schweizer DSG. Hierzulande kennen wir etwa die epischen Diskussionen um Einwilligungen und andere Rechtsgrundlagen so nicht.

Der dritte rechtliche Unterschied sind die Dokumentationspflichten. Unter der DSGVO muss jeder beweisen, dass er sie einhält. In der Schweiz ist dies nicht so. Leider wurde das bei der Ausarbeitung des Entwurfs der Verordnung zum DSG missachtet: Dort wird versucht, entgegen dem DSG weitere Dokumentationspflichten einzuführen.

In der Praxis gibt es schliesslich einen weiteren wichtigen Unterschied, und zwar wie das Datenschutzrecht durchgesetzt wird. In der EU gehen manche Behörden sehr viel extremer vor. Einige von ihnen verhängen sehr gerne Bus­sen in einer Höhe, die in keinem Verhältnis zur angeblichen Unregelmässigkeit stehen. Der Chef einer solchen Behörde gab dies sogar offen zu und rechtfertigte dies damit, dass die Bussen nach dem Konzept der DSGVO eben «aufzehrend» sein sollten, wie er es formulierte. Diese Situation kennen wir in der Schweiz nicht; es entspricht schlicht nicht unserer Tradition. Hier schreitet die Datenschutzbehörde zwar auch ein, aber solche extremen und häufigen Bussen kennen wir nicht. Auch in der Auslegung des Rechts gehen manche der EU-Datenschützer sehr fundamentalistisch vor, verfechten extreme und praxisferne Auslegungen. Da werden zum Beispiel für Datenschutzerklärungen, die nicht ganz so formuliert sind, wie sich die Behörden das vorstellen, mehrstellige Millionenbussen verhängt. Glücklicherweise korrigieren die Gerichte diese Auswüchse immer wieder. Solche Bussen haben nämlich mit den Kernanliegen des Datenschutzes nichts mehr zu tun.