Die drei Fälle nach Artikel 3
| Fall | Was im Gesetz steht | Beispiel aus dem Gewerbe |
|---|---|---|
| Niederlassung in der EU | Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union, egal wo verarbeitet wird (Abs. 1) | Deine GmbH hat eine Filiale in Konstanz oder Bregenz |
| Waren oder Dienstleistungen anbieten | Verarbeitung von Daten von Personen in der Union, wenn sie damit zusammenhängt, diesen Personen Waren oder Dienstleistungen anzubieten (Abs. 2 Bst. a) | Du bewirbst deinen Umzugsdienst gezielt im süddeutschen Raum, mit Preisen in Euro |
| Verhalten beobachten | Verarbeitung, die damit zusammenhängt, das Verhalten von Personen zu beobachten, soweit es in der Union erfolgt (Abs. 2 Bst. b) | Deine Website verfolgt Besucherinnen aus der EU über ein Analyse- oder Werbewerkzeug |
«Anbieten» heisst mehr als erreichbar sein
Das ist die Stelle, an der im Netz am meisten Angst gemacht wird. Die Verordnung selbst sagt es deutlich: Massgebend ist, ob offensichtlich die Absicht besteht, Personen in einem Mitgliedstaat Waren oder Dienstleistungen anzubieten. Die blosse Zugänglichkeit einer Website, eine E-Mail-Adresse oder die Verwendung einer Sprache, die im eigenen Land gebräuchlich ist, genügt ausdrücklich nicht. Deutsch auf einer Schweizer Website ist also kein Anhaltspunkt.
- Dafür spricht: Preise in Euro, eine Bestellmöglichkeit in einer Sprache eines Mitgliedstaats, die Erwähnung von Kunden in der Union, beworbene Lieferung in EU-Staaten, eine Landesdomain wie «.de» oder «.eu», eine Adresse oder Telefonnummer, die aus einem EU-Land zu erreichen ist, eine Werbekampagne, die sich an Publikum in einem EU-Land richtet. Diese Anhaltspunkte stehen in Erwägungsgrund 23 und in den Leitlinien 3/2018 des Europäischen Datenschutzausschusses.
- Dagegen spricht: Preise nur in Franken, Einsatzgebiet in der Schweiz beschrieben, keine Lieferung ins Ausland, keine Werbung, die sich an Personen in der EU richtet.
- Nichts sagt aus: dass die Website in Berlin geladen werden kann, dass gelegentlich eine Anfrage aus Deutschland kommt, dass du eine deutsche Lieferantin hast.
Die Grenzfälle, die im Gewerbe vorkommen
- Regelmässige Einsätze bei Privatkunden in Deutschland: Wer dort Arbeiten anbietet und ausführt, bearbeitet Daten von Personen in der Union im Zusammenhang damit, genau diesen Personen Leistungen anzubieten. Das ist der Fall von Art. 3 Abs. 2 Bst. a, und die DSGVO gilt für diese Bearbeitung.
- Der einzelne Auftrag, den du gar nie gesucht hast: Hier fehlt die erkennbare Absicht, in der Union anzubieten. Ein Kunde, der von sich aus anruft, macht dich nicht zum EU-Anbieter. Wiederholt sich das und beginnst du, dort zu werben, richtest du dich ein.
- Mitarbeitende mit Wohnsitz im Grenzgebiet: Ihre Personaldaten bearbeitest du wegen des Arbeitsverhältnisses, nicht, weil du Personen in der Union etwas anbietest oder ihr Verhalten beobachtest. Der Europäische Datenschutzausschuss sagt das am Beispiel eines Betriebs in Monaco, dessen Beschäftigte in Frankreich und Italien wohnen: Personalverwaltung samt Lohnzahlung heisst nicht, Personen in der Union eine Dienstleistung anzubieten, und fällt darum nicht unter Art. 3 Abs. 2 Bst. a (Leitlinien 3/2018, Beispiel 15).
- Onlineverkauf mit Versand in die EU: Klarer Fall von Art. 3 Abs. 2 Bst. a. Wer nach Deutschland liefert, bietet dort an.
- Analyse- und Werbewerkzeuge auf der Website: Sie können die Beobachtung des Verhaltens auslösen. Wer keine braucht, hat auch diese Frage nicht.
Wenn sie doch gilt: der Vertreter in der EU
Fällst du unter Art. 3 Abs. 2, musst du schriftlich einen Vertreter in der Union benennen (DSGVO Art. 27 Abs. 1), und zwar in einem Mitgliedstaat, in dem sich die betroffenen Personen befinden (Abs. 3). Die Pflicht entfällt, wenn die Verarbeitung nur gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Datenkategorien umfasst und voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt (Abs. 2 Bst. a). Der Handwerksbetrieb mit zwei Aufträgen pro Jahr in Süddeutschland ist genau dieser Fall.
Bussen: welche Zahl zu welchem Gesetz gehört
| Gesetz | Höchstbusse | Wer wird gebüsst |
|---|---|---|
| DSGVO, Art. 83 Abs. 4 | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist | Das Unternehmen |
| DSGVO, Art. 83 Abs. 5 | 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes | Das Unternehmen |
| Schweizer DSG, Art. 60 bis 63 | CHF 250'000.00, und nur bei Vorsatz | Die verantwortliche natürliche Person, nicht die Firma |
Und die gute Nachricht zum Schluss: Wer das Schweizer DSG ernst nimmt, hat den grössten Teil der Arbeit ohnehin gemacht. Informationspflicht, Datensicherheit, Auskunft, Meldung schwerer Pannen und ein Vertrag mit jedem Anbieter, der für dich Daten bearbeitet, stehen in beiden Gesetzen. Was praktisch zu tun ist, steht im Ratgeber Das Datenschutzgesetz im Kleinbetrieb.
Häufige Fragen
Was ist der wichtigste Unterschied zwischen DSG und DSGVO?
Die Grundsätze sind ähnlich, die Systematik nicht. Das DSG verlangt keine Rechtsgrundlage für jede Bearbeitung: Es verbietet die widerrechtliche Persönlichkeitsverletzung, und die Bearbeitung im Zusammenhang mit einem Vertrag ist ausdrücklich gerechtfertigt (DSG Art. 31). Die DSGVO verlangt für jede Verarbeitung eine der Rechtsgrundlagen ihres Art. 6.
Brauche ich ein Cookie-Banner?
Das Schweizer Recht verlangt kein Banner mit Einwilligung. Das Fernmeldegesetz verlangt, dass Nutzerinnen und Nutzer über die Bearbeitung von Daten auf ihren Geräten und deren Zweck informiert werden und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können (FMG Art. 45c Bst. b). Ein Hinweis in der Datenschutzerklärung mit einer Ablehnungsmöglichkeit genügt dafür. Richtest du dich an Personen in der EU, gelten deren strengere Regeln.
Meine Website ist aus Deutschland erreichbar. Reicht das?
Nein. Die blosse Zugänglichkeit der Website, eine Mailadresse oder die deutsche Sprache sind laut der Verordnung selbst kein ausreichender Anhaltspunkt. Es braucht eine erkennbare Absicht, Personen in der Union anzusprechen, etwa Preise in Euro oder beworbene Lieferung dorthin.
Ich habe einen Kunden mit Wohnsitz in Österreich. Gilt jetzt die DSGVO?
Nur, wenn die Bearbeitung damit zusammenhängt, dass du Personen in der Union etwas anbietest. Arbeitest du für ihn an seinem Objekt in der Schweiz, ist das ein Schweizer Auftrag. Fährst du für den Auftrag zu ihm nach Österreich, sieht es anders aus.
Was ist, wenn mein Softwareanbieter in der EU sitzt?
Dann untersteht der Anbieter für diese Bearbeitung der DSGVO, du deswegen nicht. Für dich bleibt es eine Auftragsbearbeitung nach DSG Art. 9, und weil der Staat in Anhang 1 der Datenschutzverordnung steht, ist die Bekanntgabe unproblematisch.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 3, 27 und 83 sowie Erwägungsgrund 23 (Amt für Veröffentlichungen der EU)
- Europäischer Datenschutzausschuss: Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Artikel 3)
- Datenschutzgesetz (DSG), Art. 3: räumlicher Geltungsbereich
- DSG Art. 14: Vertretung ausländischer Verantwortlicher in der Schweiz
- DSG Art. 60 bis 64: Strafbestimmungen und Widerhandlungen in Geschäftsbetrieben
- Fernmeldegesetz (FMG), Art. 45c: Daten auf fremden Geräten
- KMU-Portal des Bundes: EU-Regelung zum Datenschutz
Dieser Text ist eine allgemeine Information für Schweizer Unternehmen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Wenn dir ein Fehler auffällt, schreib uns, wir korrigieren ihn.
