7. Mai 2018 agvs-upsa.ch – Nach zwei Jahren Übergangsfrist müssen Garageninhaber die Regeln der neuen Datenschutzverordnung der EU ab dem 25. Mai verpflichtend umsetzen. Bei Verstössen gegen die 99 Artikel drohen Bussgelder in der Höhe von bis zu 20 Millionen Euro oder von bis zu vier Prozent des Vorjahresgewinns. Der AGVS-Rechtsdienst erklärt, wie Garageninhaber im Umgang mit Kundendaten auf der sicheren Seite sind.


Betrifft sämtliche Arbeiten einer Garage: der Datenschutz.

tki. «Die Materie ist komplex, aber es bleibt machbar», sagt Olivia Solari mit Blick auf die neue europäische Datenschutzverordnung (EU-DSGVO), die ab dem 25. Mai verbindlich ist, und nimmt gleich vorweg: «Der AGVS steht bei Unklarheiten und Unsicherheiten im Umgang mit neuen europäischen Richtlinien telefonisch und per Mail zur Seite.» Fakt ist: AGVS-Garagisten müssen bei der Verarbeitung von personenbezogenen Kundendaten juristisch sattelfest sein. Die auf EU-Ebene lancierten Bestimmungen stärken die Rechte von Dateninhabern, im Falle der AGVS-Betriebe der Kunden, und geben ihnen mehr Kontrolle über ihre personenbezogenen Daten.

Datenverarbeitung beginnt beim Notieren von Kundendaten
«Bei personenbezogenen Daten handelt es sich um Daten, die den Menschen – natürliche Personen – betreffen. Daten von Unternehmen, will heissen von juristischen Personen, sind vom neuen Gesetz nicht betroffen», erklärt Solari. Ausserdem sind alle Daten tangiert, die in Kombination auf einen einzelnen Menschen zurückschliessen lassen. «Die Datenverarbeitung startet bereits zum Zeitpunkt, zu dem sich ein Garagist handschriftlich oder digital Notizen zu einem Kunden macht», klärt die AGVS-Rechtsexpertin auf.

«Die neuen europäischen Bestimmungen müssen zum Beispiel eingehalten werden, wenn ein Schweizer Unternehmen offensichtlich, das heisst gezielt Kunden in der EU Waren oder Dienstleistungen anbietet – egal, ob gratis oder gegen Bezahlung», führt Olivia Solari aus. Hinweise für eine solche Absicht ergeben sich gemäss der Rechtsexpertin aus Faktoren wie der Verwendung einer bestimmten EU-Sprache oder -Währung, die nicht in der Schweiz zur Anwendung kommen. «Gewährt eine Garage etwa die Möglichkeit, Waren oder Dienstleistungen in dieser anderen Sprache zu bestellen, rückt diese in Visier der EU-Datenschutzbeauftragten. Ein weiterer Verdachtsmoment entsteht, wenn ein Betrieb andere Kunden aus dem EU-Raum als Referenz nennt», nennt Solari mögliche Beispiele.

Nichts zu befürchten haben Garagen jedoch, wenn ihre Websites und somit Angebote von EU-Staaten aus konsultiert werden können. «Dies ist noch kein Indiz für die Absicht einer Garage, dort auch Waren oder Dienstleistungen anbieten zu wollen», beschwichtigt sie. Die EU-Gesetzgebung kommt aber auch dann zum Zug, wenn eine AGVS-Garage mit ihrer Datenverarbeitung etwa durch Google Analytics das Kauf- oder Nutzungsverhalten betroffener Personen in der EU beobachten oder vorhersagen will.

EU-Recht muss Datenverarbeitung explizit genehmigen
Im Unterschied zur Schweizer Gesetzgebung gilt im EU-Datenschutzrecht das «Verbot mit Erlaubnisvorbehalt». Das bedeutet, dass die Datenverarbeitung generell verboten ist, solange sie nicht durch ein Gesetz ausdrücklich erlaubt wird oder ein Kunde in die Datenverarbeitung eingewilligt hat. «Ein Kunde kann seine Einwilligung jederzeit widerrufen. Somit muss sichergestellt werden, dass dieser Widerruf genauso einfach erfolgen kann, wie die Einwilligung selbst», betont Solari.

Der Status quo in der Schweizer Rechtssprechung
«Die staatspolitische Kommission des Nationalrats hat am 13. April entschieden, dass die Revision des Schweizer Datenschutzgesetzes in zwei Etappen über die Bühne gehen soll», informiert Olivia Solari über den hiesigen Stand der Dinge. In einem ersten Schub befasst sich der Nationalrat als erstbehandelnder Rat in der Sommersession mit dem strafrechtlichen Teil. Dieses regelt die Verarbeitung personenbezogener Daten und muss an die Schengen-Richtlinien angepasst werden.

Wenn der Nationalrat im Sommer grünes Licht gibt, kann die zweite Etappe lanciert werden: die Totalrevision des Datenschutzgesetzes. Das heisst, jenes Bereichs, der alle Datenbearbeitungen durch Private, also Garagen, wie auch durch Bundesorgane regelt. «Entsprechend wird ein Inkrafttreten der für unsere Mitglieder relevanten Bestimmungen des totalrevidierten Datenschutzgesetzes nicht vor Mitte, eher gegen Ende 2019 erwartet», ergänzt sie.

ACHTUNG: Die Situation ist für das Fürstentum Lichtenstein anders, da dort die EU-DSGVO zur Anwendung kommt! Liechtensteiner Betriebe können sich bei Fragen an den Rechtsdienst des AGVS wenden.

Online die Datenschutz-Fitness testen
Die AGVS-Juristin verweist auf einen Online-Fitnesstest in Sachen sicherer Umgang mit Kundendaten. Der nur sechs Minuten in Anspruch nehmende Test von Economie Suisse  ist unter www.economiesuisse.ch/de/datenschutz-online-check) zu finden. Ausserdem bietet das «Datenschutz Self Assessment Tool der Kanzleien Homburger und Walder Wyss unter www.dsat.ch diverse Hilfestellungen.