Wie der Channel Firmen auf das revDSG vorbereiten kann

Wie wirkt sich die Revision des Schweizer Datenschutzgesetzes auf die Anbieter von Business-Software aus?

Roger Walter: Alle Anbieter werden ihre Softwareprodukte bezüglich der neuen Regulatoren prüfen müssen, da die Speicherung von und der Zugriff auf personenbezogene Daten fast unumgänglich ist. Viele Anbieter mussten sich bereits hinsichtlich der DSGVO mit der Thematik beschäftigen. Wir begrüssen, dass die schon länger bekannten Begriffe Privacy-by-Design und Privacy-by-Default nun auch in der Schweiz als Standard verankert werden. Anbieter, die ihre Software als Service (SaaS) anbieten, werden noch viel stärker von der Revision betroffen sein, da hier eine ­regelmässige Speicherung und Verarbeitung von personenbezogenen ­Daten anfällt.

Und welche Auswirkungen hat die Revision für die Anwender?

Genauso wie die Anbieter sind auch die Anwender respektive deren Arbeitgeber gehalten, die Vorgaben des revDSG einzuhalten und entsprechende Richtlinien im Unternehmen zu definieren. Diese sollen etwa regeln, welche Daten gespeichert werden dürfen und wer Zugriff auf die Daten erhalten darf. Für die Umsetzung gilt, vorab gute Voraussetzungen zu schaffen, wie auch eine gute Kommunikation und Sensibilisierung der Mitarbeitenden. Auch auf Anwenderseite sind bestehende Softwareapplikationen auf ihre Tauglichkeit zu prüfen und gegebenenfalls anzupassen.

Wo sind die Fallstricke bezüglich Cloud-Nutzung?

Die Richtlinien des revDSG schreiben vor, dass sowohl Datenverarbeiter wie auch Datenverantwortliche für Verstösse gegen die Datenschutzricht­linien haften. SaaS-Anbieter sind in den meisten Fällen beides. Somit müssen sie ihre Kunden informieren und entsprechende Vereinbarungen treffen. Ein weiterer wichtiger Punkt ist es, zu prüfen, wo die Daten gehalten werden und ob eine Datenübermittlung an Drittländer stattfindet.

Was ist zu unternehmen, um nach September 2023 keine bösen Überraschungen zu erleben?

Sich spätestens jetzt mit dem Thema auseinandersetzen und die geforderten Anpassungen revDSG-konform umsetzen. Das ist leichter gesagt als getan. Es empfiehlt sich, dies im Unternehmen auch strategisch zu verankern, da ganzheitliche Prozesse angegangen werden müssen. Das revDSG schreibt vor, einen Datenschutzverantwortlichen im Unternehmen zu definieren, der beauftragt ist, für die Einhaltung der Regulatorien zu sorgen, und die erforderlichen Vorkehrungen trifft, damit es keine bösen Überraschungen gibt.

Wie kann der Channel hier Unterstützung bieten?

Informieren, informieren, informieren! Das Thema revDSG ist zwar in aller Munde, aber wird dennoch sehr vorsichtig konkret von Unternehmen angegangen und umgesetzt. Verständnis und Aufklärung – nicht im Fach­chinesisch – ist hier sicher ein gutes Unterstützungswerkzeug, das der Channel bieten kann. Wir alle sitzen im selben Boot – helfen wir uns ­gegenseitig; das macht uns gemeinsam stärker!

Die Antworten der weiteren Teilnehmenden des Podiums:

• Andrea Tams, Abacus: "Ein Unternehmen sollte sich bereits heute mit den neuen Anforderungen auseinandersetzen."
• Markus Naef, Bexio: "Der Channel ist ein wertvoller Sparringspartner, wenn es darum geht, nDSG-konform aufzutreten."
• Sandra Witte, BSI: "Eine Software kann nicht automatisch die Einhaltung von Datenschutz gewährleisten."