Recht Staat Wirtschaft 21

WIRTSCHAFT | STAAT | RECHT

9 Die Bestimmungen über die Weitergabe von Personendaten ins Ausland wurden überarbei- tet, um der Zunahme der grenzüberschreitenden Datenströme Rechnung zu tragen. Künftig wird der Bundesrat bestimmen, welche Staaten ein angemessenes Datenschutzniveau bie- ten. Die Liste, die im Anhang der Datenschutzverordnung veröffentlicht wird, ist für die für die Verarbeitung Verantwortlichen bindend. Darüber hinaus wurde der Datenschutz auf zwei weitere Arten gestärkt: Die Aufsichtsbefugnisse des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wurden ausgeweitet; ausser- dem sind nun die Sanktionen bei Datenschutzverletzungen strenger. ➞ Das DSG sieht in den Art. 60 bis 63 verschiedene strafrechtliche Sanktionen für den Fall vor, dass der Datenbearbeiter bestimmte Pflichten verletzt. Die jüngste Verschärfung des straf- rechtlichen Teils betraf mehrere Aspekte: ➞ Der Höchstbetrag der Geldstrafen wurde deutlich erhöht, von CHF 10 000.- (der Höchstgren- ze in Art. 106 Abs. 1 StGB) auf CHF 250 000.-. ➞ Die Liste der strafbaren Verhaltensweisen wurde erweitert. Neu ist die Verletzung verschie- dener Sorgfaltspflichten strafbar (wie die Weitergabe von Personendaten ins Ausland, ohne dass ein angemessenes Schutzniveau gewährleistet ist), ebenso wie das Nichtbefolgen einer Verfügung des Eidgenössischen Datenschutzbeauftragten. ➞ Neu ist auch, dass die Behörde, wenn die in Frage kommende Geldstrafe nicht mehr als CHF 50 000.- beträgt und die Untersuchung unverhältnismässige Massnahmen zur Identifizierung der verantwortlichen Personen erfordern würde, auf die Verfolgung dieser Personen verzich- tet und das Unternehmen an ihrer Stelle zur Zahlung der Geldstrafe verurteilen kann.

Strafrechtliche Bestimmungen

Diese Sanktionen sind jedoch im Vergleich zu anderen Gesetzgebungen sehr mild und trotz ihrer Verschärfung wahrscheinlich immer noch wenig abschreckend, und dies aus verschiedenen Gründen:

➞ Bei den im DSG vorgesehenen Verstössen handelt es sich lediglich um Übertretungen (die am wenigsten schwerwiegende Kategorie). Als solche richten sie sich nur gegen vorsätzli- ches und nicht gegen fahrlässiges Verhalten. ➞ Die meisten Straftaten werden nicht von Amts wegen, sondern nur auf Antrag des Opfers verfolgt. ➞ Das Gesetz weist Privatpersonen die strafrechtliche Verantwortung zu, nicht den Unterneh- men, für die sie arbeiten. Es sind jedoch die Unternehmen, die Daten sammeln und verar- beiten, in der Regel zu ihrem eigenen Nutzen. Die Möglichkeit, das Unternehmen subsidiär bis zu einem Betrag von CHF 50 000.- zu bestrafen, hat keine abschreckende Wirkung auf Unternehmen mit einem Jahresumsatz von mehreren Millionen oder gar Milliarden Franken (wie die grossen Unternehmen, die im digitalen Sektor tätig sind). Zum Vergleich: Facebook wurde im April 2020 von der US-Verbraucherschutzbehörde zu einer Geldstrafe von 5 Milliarden US-Dollar verurteilt, unter anderem aufgrund des Cambridge-Analyti- ca-Skandals: Es wurde festgestellt, dass das von Mark Zuckerberg gegründete soziale Netzwerk gegen die Datenschutzbestimmungen verstossen hatte, indem es die Daten von 87 Millionen Nutzern ohne deren Zustimmung mit Dritten teilte. Trotz der astronomischen Höhe von 5 Milliarden, wurde die Strafe im Vergleich zur Finanzkraft des Unternehmens von vielen Beobachtern als übermässig milde kritisiert.