• Keine Entscheidbefugnis für die Datenschutzstelle
• Regelmässige Berichte an das Management Pflicht
• Strafbarkeit auch durch Unterlassen möglich

Das revidierte Schweizer Datenschutzgesetz (DSG), das am 1. September 2023 in Kraft treten soll, ist in vielerlei Hinsicht weniger streng und formalistisch als die EU-Datenschutzgrundverordnung (DSGVO). In einer Hinsicht ist es jedoch strenger: Es sieht eine strafrechtliche Haftung von natürlichen Personen vor, während die DSGVO "nur" Geldbussen für Unternehmen verlangt. Es überrascht daher nicht, dass uns derzeit viele fragen, wie sie ihr eigenes Strafbarkeitsrisiko ausschliessen oder zumindest minimieren können.

Verstösse, die mit einem Busse geahndet werden können

Zunächst einmal sind die Verstösse gegen das DSG, welche überhaupt strafrechtlich geahndet werden können, eng begrenzt. Es gibt deren sieben:

• Bekanntgeben von Personendaten an einen Empfänger in einem Land ohne angemessenes Datenschutzniveau (z.B. in den USA) unter Verletzung der Vorgaben des DSG (z.B. ohne angemessene Garantien);
• Nutzen eines Auftragsbearbeiters (z.B. eines Cloud-Anbieters), ohne dass ein ordnungsgemässer Auftragsbearbeitungsvertrag besteht, wobei die Anforderungen an einen solchen viel tiefer sein werden als unter der DSGVO;
• Fehlen der Umsetzung der vom Bundesrat definierten Mindestanforderungen an die Datensicherheit (hier wird allerdings vertreten, dass es diese Mindestanforderungen noch gar nicht in rechtsgenüglicher Weise gibt; andere sind der Ansicht, dass sie den Einsatz angemessener, aktueller technischer und organisatorischer Sicherheitsmassnahmen, Protokollierungen und Dokumentationen erfordern);
• Den Personen, von denen Personendaten beschafft werden, keine Datenschutzerklärung mitteilen, welche die vom DSG geforderten Mindestangaben enthält, oder eine Datenschutzerklärung mit falschen oder unvollständigen Informationen verwenden;
• Den Personen, die ein Auskunftsgesuch stellen (auch im Zusammenhang mit automatisierten Einzelentscheidungen), eine falsche oder unvollständige Antwort zu erteilen;
• Bekanntgeben geheimer Personendaten, die bei der Ausübung eines Berufs, der die Kenntnis solcher Daten erfordert, erlangt wurden, an unbefugte Dritte.
• Nichtbefolgen einer Verfügung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder eines Gerichts, sowie falsche Auskünfte an den EDÖB während einer Untersuchung oder Verweigerung der Mitwirkung.

Im Gegensatz dazu können alle anderen Verstösse gegen das DSG jedenfalls unter dem DSG nicht strafrechtlich geahndet werden (hier nicht behandeln wir Vorgaben etwa nach dem Lauterkeitsrecht). Dazu gehört die Bearbeitung von Personendaten unter Verletzung der Bearbeitungsgrundsätze (z.B. die Verwendung von Personendaten für einen unzulässigen Zweck oder ihre nicht rechtzeitige Löschung) oder die Verletzung der Pflicht, ein Bearbeitungsverzeichnis zu führen oder eine Verletzung der Datensicherheit zu melden.

Geldbussen bis zu CHF 250'000

Die Busse belaufen sich auf bis zu CHF 250'000 CHF. Wir erwarten, dass die Bussen in der Praxis weitaus tiefer ausfallen (unter CHF 50'000) und – anders als unter der DSGVO – die Ausnahme sein werden. Die Geldbussen sind jedoch nach herrschender Ansicht persönlicher Natur und dürfen weder versichert noch vom Arbeitgeber übernommen werden; das macht sie wirksam. Wir sehen ihre Wirkung allerdings primär darin, die Aufmerksamkeit jener zu gewinnen, die sich bisher nicht mit dem Datenschutz beschäftigten wollten oder ihn für irrelevant erachtet haben (und weil die Schweiz europarechtlich verpflichtet war, einen Sanktionsmechanismus einzuführen). Hierzu passt die etwas zufällige und wenig nachvollziehbare Auswahl an Straftatbeständen. Nach unserer Prognose werden die meisten Fälle einerseits das Auskunftsrecht betreffen, andererseits die Informationspflicht im Zusammenhang mit unvollständigen oder falschen Datenschutzerklärungen.

Geldbussen können nur bei einem vorsätzlichen Verstoss gegen die genannten Bestimmungen verhängt werden, wobei dies auch jene Fälle umfasst, in denen die verantwortliche Person wusste (oder angenommen wird, dass sie es wusste), dass es zu einer Verletzung des DSG kommen könnte und dies billigend in Kauf nahm. Es können – wie nachfolgend dargelegt – auch jene erfasst werden, die bewusst den "Kopf in den Sand" stecken und sich nicht um mögliche Verletzungen kümmern um später argumentieren zu können, sie hätten nichts von solchen Verstössen gewusst. Wir gehen davon aus, dass solche Fälle in der Strafverfolgung dereinst durchaus eine Rolle spielen werden. Weiss die Staatsanwaltschaft in einem konkreten Fall nicht, gegen wen im Unternehmen sie ermitteln soll, wird sie zuerst bei der Unternehmensführung ansetzen.

Eine Strafverfolgung erfolgt freilich nur auf Antrag einer betroffenen Person hin, und dies binnen drei Monaten nach Kenntnis von Tat und Täter. Verfolgt werden die Fälle dabei nicht von der Datenschutzbehörde, sondern den kantonalen Strafverfolgungsbehörden. Das ist ein gewichtiger Unterschied zur DSGVO. Der Bussendrohung unterliegen nur "private Personen", was bedeutet, dass nur privatrechtlich agierende Personen erfasst sind, im Gegensatz zu solchen, die als Bundesorgane gelten. Gebüsst werden können aber sowohl interne Mitarbeiter wie externe Berater, sofern sie die Voraussetzungen erfüllen.

Handelnde Täter und das Management

Der spannendste Aspekt der neuen Strafnormen ist freilich, dass in Unternehmen nicht nur diejenigen bestraft werden können, welche die Verstösse selbst begehen. Auch ihre Vorgesetzten können strafrechtlich verfolgt werden. Bussen sind gestützt auf Art. 6 des Bundesgesetzes über das Verwaltungsstrafrecht i.V.m. Art. 64 DSG gegenüber zwei Personenkreisen möglich:

• Gegen jene, die den Verstoss tatsächlich verübt haben, weil sie in Bezug auf eine bestimmte Aktivität im Unternehmen federführend waren und beschlossen haben, die für diese Aktivität geltenden Pflichten unter dem DSG zu verletzen. Gemeint ist also beispielsweise jene Person, die beschliesst, (i) eine falsche oder unvollständige Antwort auf ein Auskunftsersuchen einer betroffenen Person zu erteilen, (ii) einen Auftragsbearbeiter ohne ordnungsgemässe Auftragsbearbeitungsvereinbarung zu beschäftigen, (iii) Personendaten unter Verletzung der Vorgaben des DSG ins Ausland bekanntgibt oder (iv) ein Berufsgeheimnis einem unberechtigten Dritten weiterzugeben. Dabei ist es unerheblich, ob der Verstoss von der Person selbst begangen wurde oder sie lediglich die Anweisung dazu gab. Wer hingegen lediglich Anweisungen befolgt oder sonst in (nur) untergeordneter Funktion zum Verstoss beiträgt, kann nach dem revidierten DSG nicht bestraft werden.

• Gegen jene, die rechtlich verpflichtet sind, die Verletzung zu verhindern und über die dazu erforderlichen Befugnisse verfügen, es aber unterlassen dies zu tun oder die Folgen eines Verstosses zu mildern. Die rechtliche Verpflichtung muss sich entweder direkt auf die Verhinderung des konkreten Verstosses beziehen (z.B. "Verantwortung für die Einhaltung des Datenschutzrechts") oder indirekt durch Verweis auf eine Verpflichtung zur Wahrung der Interessen des Unternehmens. Potenzielle Täter sind, abhängig jeweils von der Delegationsordnung, der Verwaltungsrat, die Geschäftsführung und jedes andere formelle oder faktische Organ, das für die Einhaltung des DSG verantwortlich ist und die Befugnis hat, verbindliche Weisungen zur Verhinderung des Verstosses zu erteilen (z.B. als Compliance-Verantwortlicher, der nicht nur überwacht und berichtet, sondern auch Vorgaben machen oder zumindest intervenieren kann oder dessen Genehmigung erforderlich ist). Dabei ist es unerheblich, ob diesen Personen die Entscheidbefugnis formell zugewiesen worden ist (z.B. durch ein Organisationsreglement) oder ob sie sie faktisch haben oder beanspruchen. Sie alle können aufgrund ihrer sog. Garantenstellung im Falle einer Verletzung bei Untätigkeit mit einer Geldbusse belegt werden, weil sie z.B. keine angemessenen Weisungen zur Verhinderung des Verstosses erteilt hatten, die Verantwortlichkeiten zur Einhaltung der Vorgaben nicht angemessen zugewiesen oder keine Berichte über die Einhaltung der Vorschriften eingeholt oder darauf nicht angemessen reagiert haben.

Jene, die als formelle oder faktische Organe eines Unternehmens für eine bestimmte Datenbearbeitungsaktivität verantwortlich zeichnen, können folglich unter beiden Titeln strafrechtlich verfolgt werden:

• Weil sie eine (vorsätzlich) rechtswidrige Entscheidung in Bezug auf eine bestimmte Bearbeitung von Personendaten bzw. Pflicht des DSG getroffen haben und damit selbst oder über eine entsprechende Anweisung an Untergebene das DSG in relevanter Weise verletzt haben (z.B. durch die vorsätzliche Inanspruchnahme eines Auftragsbearbeiters ohne den vorgeschriebenen Vertrag oder durch die vorsätzliche Beschaffung von Personendaten ohne ordnungsgemässen Datenschutzhinweis);

• Weil sie (vorsätzlich) die drei Sorgfaltspflichten zur angemessenen Auswahl, Instruktion und Überwachung der für sie handelnden Personen verletzt haben und damit mindestens in Kauf genommen haben, dass die Bearbeitung von Personendaten durch die ihnen unterstellten Personen zu einer strafbewehrten Verletzung des DSG führt.

Aus rechtlicher Sicht bedeutet die Delegation einer Verantwortung an eine untergebene Person, dass die verantwortliche Person (gesetzlich) dafür einsteht, dass (i) sie einen Delegierten auswählt, der in der Lage ist, der Verantwortung gerecht zu werden, (ii) der Delegierte ordnungsgemäss instruiert wird und die Mittel erhält, um die Weisungen zu befolgen, und (iii) der Delegierte überwacht wird und Massnahmen ergriffen werden, wenn es Hinweise für die Nichtbefolgung der Vorgaben gibt. Der Geschäftsherr bleibt also für die angemessene Auswahl, Instruktion und Überwachung seiner Beauftragten verantwortlich. Ob solche Delegationen in einem bestimmten Unternehmen zulässig sind, ist eine Frage der Corporate Governance und internen Usanzen. Im Falle des Verwaltungsrats eines Unternehmens behalten dessen Mitglieder jedoch von Gesetzes wegen die nicht übertragbare und nicht entziehbare Oberaufsicht über die mit der Geschäftsführung betrauten Personen und die Einhaltung der Gesetze.

Strategien zum Schutz vor Strafe

Bei dieser Ausgangslage gibt es zwei Ansätze, wie sich potenziell betroffene Personen in einem Unternehmen vor einer strafrechtlichen Verfolgung schützen können.

In beiden Fällen liegt der Schlüssel in einer passenden Compliance-Organisation und Corporate Governance, die auch entsprechend festgeschrieben sein sollten. Ist die Organisation hinreichend gross, sollte sie im Wesentlichen drei Rollen vorsehen:

• Geschäftsleitung: Sie ist verantwortlich für die Implementierung einer angemessenen Compliance-Organisation und -Governance sowie für deren Überwachung. Die Geschäftsleitung trifft auch die Risikoentscheidungen in Bezug jene Datenbearbeitungsaktivitäten und damit zusammenhängenden Compliance-Massnahmen, welche die ihr untergebenen Stellen in der First Line of Defense nicht treffen wollen oder sollen.

• Verantwortliche für die Datenverarbeitung (Data Activity Owner, DAO): Sie sorgen mit entsprechenden Entscheiden für die Einhaltung des Datenschutzes bezüglich konkreter Bearbeitungen, d.h. sie befinden für das Unternehmen über den Zweck und die Mittel einer Datenbearbeitungsaktivität und über die damit verbundenen Compliance-Massnahmen wie etwa den Abschluss einer Auftragsdatenbearbeitungsvereinbarung. Sie sind in der Regel die internen "Inhaber" der betreffenden Aktivitäten.

• Datenschutzstelle (Data Protection Compliance Officer, DPCO): Sie ist für die Beratung, die Unterstützung und die Überwachung der DAO hinsichtlich deren Befolgung des Datenschutzes zuständig und meldet etwaige Missstände und Probleme nötigenfalls der Geschäftsleitung. Sie ist Teil der Second Line of Defense. Hier wird die Stelle bewusst nicht als "Datenschutzbeauftragte" bezeichnet, um sie hinreichend klar gegenüber dem Datenschutzbeauftragten im Sinne von Art. 37 ff. DSGVO abzugrenzen (welche Figur auch das DSG kennt).

Dieses Diagramm, das hier heruntergeladen werden kann, veranschaulicht den Aufbau (das Diagramm ist nur auf Englisch verfügbar):