So verwalten Sie Ihre Personaldaten DSG-konform

Seit Mai 2018 ist die EU-Datenschutzgrundverordnung (DSGVO) in Kraft und hat das Bewusstsein von europäischen und international tätigen Unternehmen in Bezug auf den Datenschutz erheblich geschärft. Nun wird das revidierte Schweizer Datenschutzgesetz (DSG) am 1. September 2023 in Kraft treten und sämtlichen Schweizer Unternehmen wesentliche, neue Pflichten auferlegen.

Personendaten aus IT-Systemen sind zu löschen, sobald der Zweck entfällt, für den die Personendaten erhoben wurden. Diese Pflicht ergab sich bereits aus dem Verhältnismässigkeitsgrundsatz schon nach bisherigem Recht. Neu gibt es im revidierten DSG jedoch Strafbestimmungen, deren Verletzung zu hohen Strafzahlungen von bis zu CHF 250’000 führen können. Diese Strafen richten sich an den jeweiligen Verantwortlichen im Unternehmen und sind von diesem als private Person zu bezahlen. Die Strafzahlungen werden somit nur in Ausnahmefällen dem Unternehmen auferlegt und das Unternehmen darf die Strafe auch nicht anstelle des Verantwortlichen bezahlen, da auch dies strafrechtlich verfolgt werden kann. Auch ohne Verstösse gegen das DSG können öffentlich-rechtliche oder privatrechtliche Folgen entstehen, insbesondere die Pflicht zur Wiedergutmachung des Schadens. Entsprechend ist dringend zu empfehlen, Massnahmen zu ergreifen, um das Risiko eines Verstosses gegen das Datenschutzgesetz zu minimieren.

Wie sich in der Praxis erweist, haben viele Unternehmen bei der Umsetzung entsprechender Massnahmen zur Einhaltung der Datenschutzkonformität nach wie vor Schwierigkeiten. Der Grund: Um die DSG-Vorgaben zu erfüllen, müssen typischerweise umfassende, neue Strukturen und Prozesse in den im Einsatz stehenden Systemen und im Unternehmen geschaffen werden. Und diese müssen insbesondere die folgenden vier Punkte berücksichtigen:

1. Das Löschen historischer Datenbestände (wie z. B. „stillgelegte“ Buchungskreise in Produktivdatenbanken oder alte Sichtsysteme aus vorangegangenen Migrationen)
2.  Das Berichtigen und Löschen von Daten im Sinne eines kontinuierlichen Datenmanagements;
3. Die Anonymisierung von Daten in Sekundärsystemen (wie Qualitätssicherungs-, Schulungs- und Testsystemen)
4. Die Erfüllung des Auskunfts- und Übertragungsanspruchs Betroffener über Daten mit Personenbezug.

Diese Punkte treffen auch auf den Umgang mit Personaldaten und Human Capital Management (HCM)-Systeme zu, die üblicherweise das Zuhause zahlreicher Personaldaten sind.