Am 18. Juni 2023 hat die Mehrheit der Schweizer Stimmbürgerinnen und Stimmbürger der Klima- und Innovationsvorlage (Bundesgesetz über die Ziele des Klimaschutzes, der Innovation und der Stärkung der Energieversorgungssicherheit (KIG)) zugestimmt. Es ist ein bemerkenswerter Meilenstein für die Schweiz, denn es verlangt, dass die Schweiz bis zum Jahr 2050 klimaneutral wird.

Auswirkungen des Klimawandels in der Schweiz

Schmelzende Gletscher, Trockenheit, weniger Schnee, Überschwemmungen und andere damit zusammenhängende Ereignisse haben der Schweiz in den letzten Jahren die größten Sorgen bereitet, was ihre Anfälligkeit für die Klimakrise betrifft. Eine Studie zeigt, dass die Durchschnittstemperatur in der Schweiz in den letzten 150 Jahren um 2,5° C gestiegen ist, doppelt so stark wie im weltweiten Durchschnitt. Es wird davon ausgegangen, dass diese Gesetzgebung der Schweiz helfen wird, diese Herausforderungen zu bewältigen.

Die wichtigsten Schwerpunkte dieser Gesetzgebung sind die Verringerung der Treibhausgasemissionen und der Einsatz von Technologien mit negativen Emissionen, die Anpassung an und der Schutz vor den Auswirkungen des Klimawandels sowie die Lenkung der Finanzströme in Richtung emissionsarme und klimaschonende Technologien.

Rückzug des Rhonegletschers in der Schweiz von 1850 bis 2010 (VAW-ETHZ, 2010)

Das Klimagesetz

Mit dem Ziel, die Schweiz bis 2050 zu einem klimaneutralen Land zu machen, verpflichtet das Gesetz den Bund, dafür zu sorgen, dass die Treibhausgasemissionen bis 2040 um mindestens 75 Prozent gegenüber 1990 gesenkt werden. Der Bund und die Kantone sind zudem verpflichtet, alle notwendigen Schritte zu unternehmen und mit gutem Beispiel voranzugehen, um bis 2040 eine Netto-Null-Emission zu erreichen. Für verschiedene Sektoren wie den Gebäude-, den Verkehrs- und den Industriesektor wurden in dieser Gesetzgebung ebenfalls Benchmarks für die Reduktion der Treibhausgasemissionen festgelegt. Der Gebäudesektor, der Verkehrssektor und der Industriesektor müssen bis zum Jahr 2040 eine Mindestreduktion der Treibhausgasemissionen um 82 Prozent, 57 Prozent bzw. 50 Prozent sicherstellen, während der Gebäude- und der Verkehrssektor verpflichtet sind, die Treibhausgasemissionen bis 2050 um 100 Prozent zu senken, und der Industriesektor die Treibhausgasemissionen bis 2050 um 90 Prozent reduzieren muss.

Auch der Schweizer Finanzsektor wird durch dieses Gesetz verpflichtet, einen wirksamen Beitrag zu einer emissionsarmen und klimaresistenten Entwicklung zu leisten, indem er Maßnahmen zur Verringerung der Klimaauswirkungen nationaler und internationaler Finanzströme ergreift und sich stärker auf eine klimafreundliche Ausrichtung der Finanzströme konzentriert.

Die Erwähnung der Förderung neuer Technologien und Verfahren in der Gesetzgebung kommt zur rechten Zeit. Dies wird den Unternehmen helfen, die Bedeutung der Entscheidung für verschiedene Technologien und/oder technologische Dienstleistungen zu verstehen, um bis 2050 Netto-Null-Emissionen zu erreichen.

Mit einem tiefen Verständnis für die Bedeutung und Schwere des neuen Klima- und Innovationsgesetzes bieten wir unsere Software mit einer Reihe von ESG-Funktionen an. Wir sind fest davon überzeugt, dass diese Funktionen Unternehmen dabei helfen werden, die Ziele dieses bahnbrechenden Gesetzes erfolgreich zu erreichen.

Mit dem Inkrafttreten des revidierten Datenschutzgesetzes (revDSG) am 1. September 2023 ergeben sich neue Anforderungen an Schweizer Unternehmen und deren Datenschutzmaßnahmen. Das aktualisierte DSG wurde insbesondere an den technischen Fortschritt angepasst und soll den Schutz von Personendaten in Zukunft verbessern. Das neue Gesetz stärkt die Selbstbestimmung und erhöht die Transparenz bei der Beschaffung von Personendaten. Das revidierte Gesetz verschärft die Vorschriften für Unternehmen und zwingt sie, ihre bestehenden Datenschutzrichtlinien und -konzepte anzupassen. Wir haben die wichtigsten Änderungen hier zusammengefasst.  

Personenbetreffende Neuerungen 

Nur Daten von natürlichen Personen  

Das revidierte DSG gilt nur noch für Daten von natürlichen Personen, juristische Personen sind nicht mehr durch das DSG geschützt. Schweizer Unternehmen und internationale Organisationen, die Personendaten von in der Schweiz ansässigen Personen bearbeiten und grenzüberschreitende Transaktionen durchführen, müssen das revidierte DSG anwenden. Der Anwendungsbereich der revidierten DSG entspricht in dieser Hinsicht demjenigen der DSGVO, die sich ebenfalls nur auf den Schutz der Privatsphäre natürlicher Personen in Bezug auf ihre personenbezogenen Daten konzentriert.  

Private Unternehmen haben die Möglichkeit, einen Datenschutzbeauftragten zu ernennen, der entweder ein Angestellter oder ein Externer des Unternehmens sein kann. Im Gegensatz zur europäischen Datenschutz-Grundverordnung sind private Unternehmen nicht gesetzlich verpflichtet, Berater zu ernennen, und nur Bundesbehörden sind dazu angehalten. Der Datenschutzbeauftragte muss eine unabhängige Beratung in Datenschutzfragen leisten und jegliche Beeinflussung durch andere Unternehmensaktivitäten vermeiden. Es wird empfohlen, die datenschutzrechtliche Beratung von der sonstigen rechtlichen Beratung und Vertretung zu trennen. In Situationen, in denen es zu Meinungsverschiedenheiten kommt, sollte der Datenschutzbeauftragte die Möglichkeit haben, seine Bedenken gegenüber der Unternehmensleitung vorzubringen.  

Erweiterter Umgang mit wichtigen Informationen  

Ausdehnung der Informationspflicht  

Das revidierte DSG erweitert zudem die Auskunftspflicht. In diesem Fall wird die betroffene Person bei jeder Erhebung von Personendaten vorgängig informiert. Das alte Recht sah eine Informationspflicht nur vor, wenn besonders schützenswerte Personendaten erhoben wurden. Zumindest müssen die Identität und die Kontaktdaten des für die Verarbeitung Verantwortlichen, der Zweck der Verarbeitung und die Kategorien von Empfängern mitgeteilt werden. Wenn Daten ins Ausland fließen, muss diese Tatsache sowie weitere Informationen wie die vorliegende Datenschutzregelung kommuniziert werden. 

Sensible personenbezogene Daten 

Eine wichtige Änderung betrifft die Liste der so genannten sensiblen Daten, zu denen in Zukunft auch genetische und biometrische Daten gehören werden. Genetische Daten, die aus biologischen Proben gewonnen werden können, geben Aufschluss über die genetischen Merkmale einer Person, z. B. über ihre Gesundheit. Beispiele hierfür sind DNA-Analysen und ähnliche Tests. Biometrische Daten ermöglichen die eindeutige Identifizierung von Personen. Beispiele hierfür sind Gesichtsbilder oder Fingerabdrücke. 

Neu in das Gesetz aufgenommen wurde auch der Begriff Profiling, also die automatisierte Auswertung von personenbezogenen Daten. Wenn in einem Profil einzigartige Merkmale einer Person identifiziert werden können, handelt es sich um risikoreiches Profiling. Hierfür muss immer vorher die ausdrückliche Zustimmung der betroffenen Person eingeholt werden. 

Neue Dokumentationspflichten 

Verzeichnis der Datenverarbeitungstätigkeiten  

Was die Dokumentationspflicht betrifft, so ist nun auch ein umfassendes Verzeichnis der Verarbeitungstätigkeiten verpflichtend, mit Ausnahme von kleinen und mittleren Unternehmen mit weniger als 250 Beschäftigten. Eine weitere Ausnahme gilt für Unternehmen, deren Datenverarbeitung ein geringes Risiko für die Verletzung des Schutzes personenbezogener Daten darstellt. Das Register ist eine Bestandsaufnahme aller Datenverarbeitungstätigkeiten, die zur Transparenz beiträgt und hilft festzustellen, ob die Datenverarbeitung rechtmäßig war. Art und Umfang der verarbeiteten personenbezogenen Daten sowie deren Empfänger müssen ebenfalls angegeben werden.   

Datenschutz-Folgenabschätzung  

Eine weitere wichtige Ergänzung ist die Datenschutz-Folgenabschätzung. Diese wird relevant, sobald ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen besteht. Eine Datenschutz-Folgenabschätzung beinhaltet eine Bewertung des potenziellen Schadens, der durch mangelnde Datensicherheit entstehen könnte. Ziel ist es, diejenigen Prozesse, die mit einem hohen Risiko behaftet sind, mit zusätzlichen Schutzmaßnahmen auszustatten, um den möglichen Schaden zu reduzieren. 

Ausnahmen für die Datenschutz-Folgenabschätzung  

Einhalten eines geprüften Verhaltenskodexes  

Das neue DSG ermutigt Berufs-, Handels- und Wirtschaftsverbände, eigene Verhaltenskodizes zu formulieren und sie dem EDÖB zur Überprüfung vorzulegen. Die Stellungnahmen des EDÖB zu diesen Kodizes werden dann veröffentlicht und können Einwände oder Empfehlungen für Änderungen oder Klarstellungen enthalten. Organisationen, die eine positive Stellungnahme des EDÖB erhalten, können davon ausgehen, dass das in ihrem Kodex festgelegte Verhalten mit dem Datenschutzrecht übereinstimmt. Zu allgemein gehaltene Kodizes entbinden die Organisationen jedoch nicht von allfälligen Risiken, die nicht detailliert beschrieben sind. Durch die Einhaltung eines Verhaltenskodexes können die Verbandsmitglieder vermeiden, eigene Hilfestellungen und Richtlinien zur Einhaltung des neuen DSG zu entwickeln. Eine solche Selbstregulierung hat den Vorteil, dass die für die Datenverarbeitung Verantwortlichen keine eigene Datenschutz-Folgenabschätzung durchführen müssen, wenn sie sich an einen Verhaltenskodex halten, der auf einer früheren Datenschutz-Folgenabschätzung beruht, weiterhin gültig ist, Maßnahmen zum Schutz der Privatsphäre und der Grundrechte enthält und vom EDÖB genehmigt wurde.  

Zertifizierungen erlangen  

Das neue DSG erlaubt neu nicht nur die Zertifizierung von Managementsystemen und Produkten, sondern auch von Dienstleistungen und Prozessen. Diese Zertifizierung dient den Unternehmen als Nachweis, dass sie den Grundsatz des „privacy-by-default“ einhalten und über ein angemessenes Datenschutzmanagementsystem verfügen. Durch den Einsatz eines zertifizierten Systems, Produkts oder Dienstes werden die für die private Datenverarbeitung Verantwortlichen von der Erstellung einer Datenschutz-Folgenabschätzung befreit. Der Bundesrat hat mit einer Verordnung, der so genannten Datenschutz-Zertifizierungsverordnung, zusätzliche Regelungen zum Zertifizierungsprozess und zu den Gütesiegeln eingeführt.  

Zusätzliche Rechte für betroffenen Personen  

Recht auf Information 

Eine weitere wichtige Neuerung ist das Recht, Auskunft über die verarbeiteten Personendaten zu verlangen. Die neue Gesetzesnovelle enthält eine Mindestliste von Informationen, die der für die Datenverarbeitung Verantwortliche übermitteln muss, z.B. wie lange die personenbezogenen Daten gespeichert werden. Im Allgemeinen müssen die betroffenen Personen die Informationen so transparent und umfassend wie möglich erhalten, um ihre Rechte geltend machen zu können. Wie bisher hat der für die Datenverarbeitung Verantwortliche das Recht, unter bestimmten Umständen Informationen zu verweigern, einzuschränken oder zurückzuhalten. Dies kann zum Beispiel der Fall sein, wenn die Anfrage offensichtlich unbegründet und übertrieben ist. Allerdings müssen dann auch die Gründe für eine Ablehnung mitgeteilt werden. 

Recht auf Datenübertragbarkeit 

Betroffene Personen haben nun das Recht, ihre personenbezogenen Daten von einem privaten für die Verarbeitung Verantwortlichen in einem gängigen und maschinenlesbaren Format anzufordern oder sie an einen Dritten zu übermitteln. Der für die Verarbeitung Verantwortliche muss die Daten in automatisierter Form und mit Einwilligung der betroffenen Person verarbeiten oder wenn dies in direktem Zusammenhang mit einem Vertrag steht. Dieses Recht ist unentgeltlich, es sei denn, die Offenlegung oder Übermittlung erfordert einen unverhältnismäßigen Aufwand oder unverhältnismäßige Kosten. Ein Beispiel hierfür könnten Kommunikationsdaten sein, bei denen eine Triage erforderlich ist, um die Aussagen der betroffenen Person von denen Dritter zu trennen, was zeitaufwendig sein kann. 

Ergänzte Kommunikationspflichten 

Pflicht zur Meldung von Datensicherheitsverstößen 

Neuerdings ist auch eine sofortige Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) im Falle einer Datenschutzverletzung erforderlich. Die Meldepflicht gilt für jede Datenpanne und erfordert nicht nur eine Meldung an den Datenschutzbeauftragten, sondern auch an die betroffenen Personen, deren Daten nicht mehr sicher sind. Die betroffenen Personen müssen jedoch nur benachrichtigt werden, wenn ihre persönlichen oder grundlegenden Rechte infolge der Datenverletzung beeinträchtigt werden. 

Ausbau der präventiven Schutzvorgaben 

Grenzüberschreitende Offenlegung von personenbezogenen Daten

Besonders relevant für Unternehmen, die im Ausland tätig sind, ist ein weiterer Artikel des revidierten DSG, der vorsieht, dass Daten im Ausland nur bekannt gegeben werden dürfen, wenn der Bundesrat bestätigt, dass die Gesetzgebung des ausländischen Staates einen ausreichenden Schutz gewährleistet. Die bisherige, vom EDÖB veröffentlichte Liste ist öffentlich auf der Website der EDÖB einsehbar. Ist das Zielland nicht auf der Liste des Bundesrates aufgeführt, können die Daten wie nach bisherigem Recht dorthin übermittelt werden, sofern ein angemessener Schutz auf andere Weise gewährleistet ist. Beispiele für solche Mittel sind internationale Verträge, dem EDÖB mitgeteilte Datenschutzklauseln oder verbindliche Unternehmensregeln. Standardvertragsklauseln, die von der Europäischen Kommission unter GDPR genehmigt wurden, werden vom EDÖB ebenfalls anerkannt. 

Das DSG geht weiter als die DSGVO, indem es vorschreibt, dass die betroffenen Personen über die Länder informiert werden müssen, die an der grenzüberschreitenden Weitergabe von Personendaten beteiligt sind, einschließlich der Speicherung auf ausländischen Systemen (Cloud), unabhängig davon, ob diese einen angemessenen Datenschutz bieten. Darüber hinaus muss bei der Offenlegung angegeben werden, welche Datenschutzgarantien (z. B. EU-Standardvertragsklauseln) oder Ausnahmen der für die Verarbeitung Verantwortliche ggf. in Anspruch nimmt. Auch hier geht das revDSG einen Schritt weiter als die EU-Datenschutz-Grundverordnung.

Datenschutz durch Technik und durch Voreinstellungen

Darüber hinaus gelten die Grundsätze des eingebauten und des Standard-Datenschutzes, die von den Entwicklern verlangen, den Datenschutz von Anfang an in die Struktur von Produkten und Diensten einzubauen. Der Grundsatz des „eingebauten Datenschutzes“ gewährleistet, dass bereits bei der Markteinführung eines Produkts oder Dienstes ein Höchstmaß an Sicherheit gegeben ist. Software, Hardware und Dienste müssen daher so konfiguriert werden, dass sie Daten schützen und die Privatsphäre der Nutzer wahren.

Einführung von Bussen

Schließlich sieht das revidierte Datenschutzgesetz eine Anpassung der Bussen für natürliche Personen vor, die für Bearbeitungstätigkeiten verantwortlich sind. Konkret geht es um Bussen von bis zu 250’000 Franken pro Verstoß, wenn die Informations- und Auskunftspflichten sowie gewisse Sorgfaltspflichten vorsätzlich verletzt werden. Für die Durchsetzung der strafrechtlichen Sanktionen sind die kantonalen Strafverfolgungsbehörden zuständig. Auch zivilrechtliche Klagen auf Beseitigung, Unterlassung oder Schadenersatz sind möglich.

Fazit 

Neben den bereits bekannten Anpassungen zum 1. September 2023 ist schon heute absehbar, dass sich das DSG auch in Zukunft weiter der Datenschutz-Grundverordnung annähert. Zum einen um die Rechte der Schweizer Bürgerinnen und Bürger zu stärken, zum anderen um den wirtschaftlichen Austausch mit der EU zu vereinfachen. Um den mittel- und langfristigen Anforderungen gerecht zu werden, ist es sinnvoll, sich mit einem starken Partner für den digitalen Datenschutz zusammenzutun. Ein solcher weiß, wie die Prozesse aus dem neuen Gesetz umgesetzt und digitalisiert werden können, schafft aber auch ein Bewusstsein für künftige regulatorische Änderungen und gibt Ihnen die Chance, entsprechende Projekte frühzeitig und rechtssicher abzuschließen.

Der Begriff „Whistleblowing“ bezieht sich auf die Meldung von Fehlverhalten und/oder Vergehen, darunter unethisches Verhalten, Betrug, Korruption, Misswirtschaft, Vetternwirtschaft, Missbrauch, Bestechung, Rassismus, Einschüchterung, Belästigung, Kriminalität usw. innerhalb von Organisationen. Diese Mängel, die in unserer Gesellschaft allgegenwärtig sind, können den Ruf einer Organisation schädigen, wenn sie verborgen und unbehandelt bleiben. Die Vorstellung und Praxis der Bekämpfung von Fehlverhalten und Vergehen hat in Wirtschaftsorganisationen zugenommen. Die Mitarbeiter sind in den Organisationen höchstwahrscheinlich die ersten, die Fehlverhalten und/oder Vergehen beobachten. Daher ist es für die Organisationen sehr wichtig, ein „Beschwerdemanagementsystem“ einzurichten und sicherzustellen, dass die Mitarbeiter, die Beschwerden über Fehlverhalten und/oder Vergehen in den Organisationen einreichen möchten, die erforderliche Unterstützung erhalten. Es ist nicht falsch, davon auszugehen, dass die Mitarbeiter eine moralische Verpflichtung haben, jegliches Fehlverhalten und/oder Vergehen in der Organisation zu melden, das sie beobachten und/oder von dem sie Kenntnis erlangen.

Trends beim Whistleblowing in der Wirtschaft

Whistleblower erweisen sich oft als unschätzbar wertvoller Teil des Prozesses zur Aufdeckung von Straftaten und zur Einhaltung der einschlägigen Gesetze. Eine von PricewaterhouseCoopers durchgeführte Studie ergab, dass „professionelle Wirtschaftsprüfer nur 19 % der betrügerischen Aktivitäten bei privaten Unternehmen aufdeckten, während Whistleblower 43 % entdeckten und aufdeckten“. Diese Studie zeigt auch, dass „Whistleblower ihren Aktionären Milliarden von Dollar ersparten“. Eine Studie mit dem Titel „ Who Blows the Whistle on Corporate Fraud “ der University of Chicago Booth School of Business kommt zu einem ähnlichen Ergebnis und besagt, dass „Mitarbeiter eindeutig den besten Zugang zu Informationen haben. Kaum ein Betrugsfall kann ohne das Wissen und oft auch die Unterstützung mehrerer von ihnen begangen werden. Einige könnten Komplizen sein … aber die meisten sind es nicht.“

Obwohl Unternehmen heutzutage in der Regel über Whistleblower-Richtlinien verfügen, können diese manchmal sehr unzureichend erscheinen, um Whistleblower zu unterstützen, die dazu veranlasst werden, freiwillig Beschwerden über jegliches Fehlverhalten und/oder Vergehen in der Organisation einzureichen. Daher ist es sehr wichtig, einen geeigneten und soliden Rechtsrahmen für Whistleblower zu haben, der die Unternehmen dazu verpflichtet, eine Whistleblowing-Praxis in ihren Organisationen einzuführen. Viele Rechtsräume verfügen über eine ausreichende Rechtsgrundlage für Whistleblower, vielen fehlt es jedoch noch immer daran. Bis 2020 wurden „in mindestens 59 Ländern Gesetze zum Schutz von Whistleblowern erlassen“. Die Idee hinter der Gesetzgebung von Whistleblower-Gesetzen besteht darin, „Whistleblower zu Offenlegungen zu ermutigen und Whistleblower vor Vergeltungsmaßnahmen zu schützen“.

Whistleblowing-Gesetzgebung in der Schweiz

Es ist sehr beunruhigend, dass Whistleblower in der Schweiz nicht gesetzlich geschützt sind. Derzeit gibt es in der Schweiz keine gesetzlichen Bestimmungen, die Whistleblower vor Repressalien schützen. Tatsächlich sind die bestehenden Gesetze so gestaltet, dass sie Arbeitnehmer einschüchtern und sie davon abhalten, ihre Stimme gegen jegliches Fehlverhalten und/oder Vergehen in der Organisation zu erheben. So heißt es in Artikel 321a Absatz 4 des Schweizerischen Obligationenrechts: „Während der Dauer des Arbeitsverhältnisses darf der Arbeitnehmer vertrauliche Informationen, die er während seiner Tätigkeit für den Arbeitgeber erlangt hat, wie Fabrikations- oder Betriebsgeheimnisse, weder verwerten noch preisgeben; er bleibt auch nach Beendigung des Arbeitsverhältnisses an diese Geheimhaltungspflicht gebunden, soweit dies zur Wahrung der berechtigten Interessen des Arbeitgebers erforderlich ist.“

Man könnte argumentieren, dass diese gesetzliche Bestimmung nichts dagegen aussagt, seine Stimme gegen das Fehlverhalten und/oder die Verfehlungen in der Organisation zu erheben. Das Gegenargument könnte jedoch sein, dass eine solche Gesetzesaussage Whistleblower auch nicht offensichtlich immunisiert. Man könnte davon ausgehen, dass Letzteres Vorrang vor Ersterem hat, da es in der Schweiz keine Gesetze gibt, die Whistleblower vor ungerechtfertigten Konsequenzen schützen. Es gibt jedoch eine Auslegung dieses Artikels, die besagt, dass Ausnahmen von diesem Artikel „nur zulässig sind, wenn das öffentliche Interesse an der Offenlegung der Informationen höher eingeschätzt wird als das Interesse des Arbeitgebers, die Informationen geheim zu halten“. Es ist jedoch immer noch nicht klar, welche konkreten Offenlegungen als im öffentlichen Interesse liegend erachtet werden. Das Fehlen eines Rechtsrahmens für Whistleblower hat in der Schweiz einen besorgniserregenden Punkt erreicht, da „geschätzt wird, dass mehr als 95 % der Korruptionsfälle nicht gemeldet werden“.

Obwohl es mehrere Versuche gab, in der Schweiz gesetzliche Rahmenbedingungen für Whistleblower zu schaffen, war keiner davon erfolgreich. Es bleibt zu hoffen, dass die Schweizer Bundesversammlung die Bedeutung eines gesetzlichen Rahmens für Whistleblower erkennt und in naher Zukunft einen solchen erlässt.