TREX – Archiv

Wer Personendaten bearbeitet, hatte schon lange¹ eine Reihe datenschutzrechtlicher Grundsätze einzuhalten, u.a. die folgenden:²

Rechtmässigkeit (Art. 4 Abs. 1 DSG)
Bearbeitung nach Treu und Glauben (Art. 4 Abs. 2 DSG)
Verhältnismässigkeit (Art. 4 Abs. 2 DSG)
Erkennbarkeit und Zweckbindung (Art. 4 Abs. 3 und 4 DSG)
Datenrichtigkeit (Art. 5 DSG)
Datensicherheit (Art. 7 DSG)
Beschränkung der Bekanntgabe von Personendaten ins Ausland (Art. 6 DSG).

Der Datenschutz muss also keineswegs neu erfunden werden. Es ist allerdings kein Geheimnis, dass beim Datenschutz ein gewisses Vollzugsdefizit besteht oder bestand,³ in der Schweiz ebenso wie im übrigen Europa.

Die Europäische Datenschutzgrundverordnung (DSGVO)⁴ sieht daher Sanktionen vor, die «wirksam, verhältnismässig und abschreckend» sein sollen (Art. 83 Abs. 1 DSGVO), und begleitet die materiellen Pflichten der Datenverarbeiter mit flankierenden Dokumentations- und Organisationspflichten (Art. 5 Abs. 2 DSGVO, «Rechenschaftspflicht»; aber auch Bestimmungen über den Datenschutzbeauftragten, den EU-Vertreter, die Datenschutz-Folgenabschätzung, den Umgang mit Verletzungen des Schutzes von Personendaten, die Einbindung von Auftragsverarbeitern usw.). Die Schweiz tut es der DSGVO gleich und revidiert derzeit ihr Datenschutzgesetz (DSG).⁵ Auch wenn sich der Entwurf des DSG (E-DSG) noch in der Beratung befindet,⁶ darf man annehmen, dass das neue DSG der DSGVO ähnlich sehen wird, wenn auch mit Abstufungen und – so ist zu hoffen – einem wesentlich pragmatischeren Ansatz.⁷

Im Vordergrund der Debatte steht allerdings weiterhin die DSGVO, die am 25. Mai 2018 in der EU und am 20. Juli 2018 im übrigen EWR⁸ in Kraft getreten ist: Hier vor allem die extraterritoriale Anwendung der DSGVO⁹ und die dadurch ausgelösten – und von der Beratungsindustrie genährten – Ängste, vor allem vor hohen Bussen (die bei Unternehmen ohne Niederlassung im EWR allerdings übertrieben sind), vor Abmahnungen aus Deutschland (wobei nur wenige Abmahnungen wegen Verletzungen der DSGVO bekannt sind und offen ist, ob sie überhaupt abmahnfähig sind)¹⁰ und vor dem bürokratischen Aufwand bei der Umsetzung der DSGVO. Vor diesem Hintergrund fragt sich zunächst, ob bzw. wann die DSGVO auf Treuhänderinnen und Treuhänder der Schweiz und auf ihre Kunden anwendbar ist.

1. Ist die DSGVO auf schweizerische Treuhänder und ihre Kunden anwendbar?

1.1 Allgemeines

Dass Treuhänder in den sachlichen Anwendungsbereich der DSGVO fallen, liegt auf der Hand. Sie bearbeiten Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen, und damit Personendaten (Art. 4 Nr. 1 und 2 DSGVO). Dasselbe gilt für ihre Kunden. Weniger klar ist die Frage, unter welchen Umständen der räumliche Anwendungsbereich der DSGVO eröffnet ist. Hier ist zwischen zwei Konstellationen zu unterscheiden:

Wenn sich ein Gericht oder eine Behörde im EWR mit dieser Frage beschäftigt, ist Art. 3 DSGVO anwendbar (dazu Punkt 1.2 ff.), der die räumliche Anwendbarkeit der DSGVO regelt. Ebenfalls anwendbar sind die kollisionsrechtlichen Bestimmungen des lokalen Rechts im Gerichtsstaat, die den räumlichen Anwendungsbereich des Umsetzungsrechts bestimmen (also beispielsweise darüber entscheiden, welches nationale materielle Recht die Beschränkungen der Rechte und Pflichten aus Art. 12 ff. DSGVO gestützt auf Art. 23 DSGVO regelt).¹¹
Wenn ein schweizerisches Gericht oder eine schweizerische Behörde über die Anwendung der DSGVO zu befinden hat, ist demgegenüber nicht Art. 3 DSGVO, sondern das schweizerische Kollisionsrecht anwendbar; bei aus einer angeblichen Verletzung des Datenschutzrechts abgeleiteten Ansprüchen also Art. 139 IPRG.¹² Eine direkte Berufung auf Art. 3 zur Begründung der Anwendbarkeit der DSGVO vor einem schweizerischen Gericht scheidet daher aus (auch wenn den Autoren eine erste Klage vorliegt, die Ansprüche direkt auf Art. 3 DSGVO stützen will).

Im Vordergrund steht gleichwohl Art. 3 DSGVO, weil die Risiken einer Busse als höher eingeschätzt werden als die Risiken zivilrechtlicher Ansprüche vor schweizerischen Gerichten. Art. 3 DSGVO regelt drei Fälle, in denen die DSGVO auf eine Datenbearbeitung durch eine Person oder ein Unternehmen ausserhalb des EWR Anwendung findet. Bei allen Fällen bestehen noch erhebliche Unklarheiten. Eine gewisse Klärung wird vom Europäischen Datenschutzausschuss erwartet, einem Gremium der Aufsichtsbehörden der Mitgliedstaaten (die frühere Artikel-29-Datenschutzgruppe), der u.a. die Aufgabe hat, auf die einheitliche Anwendung der DSGVO hinzuwirken (Art. 67 ff. DSGVO). Es ist bekannt, dass der Ausschuss am 25. September 2018 Leitlinien zu Art. 3 DSGVO zuhanden einer öffentlichen Konsultation verabschiedet hat, doch sind diese bei Drucklegung dieses Beitrags noch nicht veröffentlicht worden.

Jacqueline Sievers

Jacqueline Sievers

Archiv

Suchen

Bedeutung der DSGVO für die Treuhandbranche

1. Ist die DSGVO auf schweizerische Treuhänder und ihre Kunden anwendbar?

1.1 Allgemeines