Das neue Datenschutzrecht tritt am 1. September 2023 in Kraft

Am 31. August 2022 hat der Bundesrat entschieden, das totalrevidierte Datenschutzgesetz (nDSG) und die Ausführungsbestimmungen in der neuen Datenschutzverordnung (DSV) per 1. September 2023 in Kraft zu setzen.

Mit der Inkraftsetzung schloss der Bundesrat auch die Arbeiten an der neuen Datenschutzverordnung DSV ab. Die Vernehmlassung zum Vorentwurf der DSV lief bis zum 14. Oktober 2021 (proFonds hat eine Vernehmlassung eingereicht » mehr dazu). Der Vorentwurf wurde heftig kritisiert. Viele Bestimmungen waren zu restriktiv oder es fehlte an der gesetzlichen Grundlage, was auch von proFonds moniert wurde.

Erfreulicherweise wurden gewisse – wenn auch nicht alle – Kritikpunkte umgesetzt und sind in der neuen Fassung der DSV nicht mehr enthalten. So wurde bspw. die Ausdehnung der Informationspflichten auf Auftragsverarbeiter gestrichen, denn dafür gab es schlicht keine gesetzliche Grundlage. Auf diesen Umstand hat proFonds in der Vernehmlassung mit Nachdruck hingewiesen, was offenbar ein Umdenken zur Folge hatte. Ebenfalls erfreulich ist, dass die Regelung, wonach eine privatrechtliche Organisation, die am Anfang eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigt, von der Pflicht befreit ist, ein Verzeichnis der Bearbeitungstätigkeiten zu führen, es sei denn, es werden umfangreich besonders schützenswerte Personendaten bearbeitet oder es wird ein Profiling mit hohem Risiko durchgeführt. Dies bedeutet eine erhebliche Entlastung von kleineren und mittleren Stiftungen und NPO.

Stiftungen und NPO haben nun noch rund zehn Monate Zeit, die datenschutzrechtlichen Vorgaben umzusetzen. Im Hinblick auf den Umfang empfiehlt es sich, mit der Umsetzung möglichst zeitnah zu beginnen.