Die operativen Pflichten nebeneinander
| Pflicht | DSG | DSGVO |
|---|---|---|
| Verzeichnis der Bearbeitungstätigkeiten | Art. 12; Ausnahme unter 250 Mitarbeitenden (Art. 24 DSV) | Art. 30; Ausnahme unter 250 Beschäftigten, eng begrenzt |
| Informationspflicht | Art. 19 | Art. 13 und 14 |
| Auskunft | Art. 25; in der Regel 30 Tage | Art. 15; ein Monat, verlängerbar um zwei Monate |
| Datenherausgabe und -übertragung | Art. 28 | Art. 20 |
| Löschung | Art. 6 Abs. 4 und Art. 32 Abs. 2 lit. c | Art. 17 |
| Datenschutz durch Technik und Voreinstellungen | Art. 7 | Art. 25 |
| Datensicherheit | Art. 8 | Art. 32 |
| Datenschutz-Folgenabschätzung | Art. 22 | Art. 35 |
| Meldung von Verletzungen der Datensicherheit | Art. 24; bei voraussichtlich hohem Risiko so rasch als möglich an den EDÖB | Art. 33; unverzüglich, möglichst innert 72 Stunden an die Aufsichtsbehörde, ausser es besteht voraussichtlich kein Risiko |
| Bekanntgabe ins Ausland | Art. 16 und 17 | Art. 44 ff. |
Wo sich DSG und DSGVO unterscheiden
- Begriffe: Personendaten statt personenbezogene Daten, Bearbeitung statt Verarbeitung, Auftragsbearbeiter statt Auftragsverarbeiter.
- Grundlage der Bearbeitung: Das DSG erlaubt die Bearbeitung, wenn die Grundsätze eingehalten sind; einen Rechtfertigungsgrund braucht es erst bei einer Persönlichkeitsverletzung. Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage (Art. 6 DSGVO).
- Besonders schützenswerte Daten: Das DSG zählt auch Daten über Massnahmen der sozialen Hilfe und über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen dazu.
- Meldung von Verletzungen: Das DSG verlangt sie bei voraussichtlich hohem Risiko, ohne feste Frist; die DSGVO schon, wenn ein Risiko nicht ausgeschlossen ist, möglichst innert 72 Stunden.
- Sanktionen: Das DSG richtet Bussen grundsätzlich gegen verantwortliche natürliche Personen, die DSGVO Geldbussen gegen Unternehmen.
Was heisst das für den Betrieb?
Beide Gesetze verlangen Abläufe, nicht nur Dokumente: ein Verzeichnis, das stimmt, Anfragen, die fristgerecht beantwortet werden, Daten, die nach Ablauf ihrer Frist tatsächlich gelöscht werden, und Nachweise, die das belegen.
Wer beiden Rechtsordnungen unterliegt, fährt am besten mit einem einheitlichen Ablauf: Fristen je Anfrage berechnen und überwachen, Löschungen über alle Systeme steuern, jeden Schritt festhalten.