On January 15, 2024, the EU Commission published its <a href="https://commission.europa.eu/system/files/2024-01/JUST_template_comingsoon_Report%20on%20the%20first%20review%20of%20the%20functioning.pdf">report</a> on the results of its first review of the adequacy decisions previously taken under the old EU Data Protection Directive. The EU Commission concludes that Switzerland continues to provide an adequate level of protection for personal data transferred from the EU.
According to its report, the EU Commission welcomes the developments in the Swiss legal framework since the adoption of the first adequacy decision in July 2000, including in particular the modernization of the Swiss Data Protection Act (cf. our <a href="https://www.homburger.ch/en/insights/revision-of-the-swiss-data-protection-law-is-complete">Bulletin</a> of August 31, 2022). These developments have contributed to an increased level of data protection, in a manner sufficient for the EU Commission to maintain its adequacy decision.
Maintaining the EU adequacy decision was one of the main objectives of the revision of the Swiss Data Protection Act, which entered into force on September 1, 2023: Without the EU&#8217;s recognition of the adequacy of Swiss data protection law, the export of personal data from the EU to Switzerland would have become much more burdensome. Today&#8217;s confirmation by the EU Commission thus marks the achievement of a key goal in the efforts to modernize Swiss data protection law in a manner consistent with the EU General Data Protection Regulation (GDPR).
The review of adequacy decisions by the EU Commission, which has now been completed, is the first such review since the GDPR came into force in 2018. The GDPR calls for regular reviews, and the EU underlines its intention to further intensify dialogue and cooperation with like-minded international partners on data flows and digital issues in general.

EU Confirms Adequacy of Swiss Data Protection Law

<h3>Der Bundesrat verabschiedet die neue Verordnung zum neuen DSG und setzt die DSG-Revision auf den 1. September 2023 in Kraft</h3>
<h4>Was hat der Bundesrat heute entschieden?</h4>
Während das Parlament das neue Schweizer Datenschutzgesetz (DSG) bereits am 25. September 2020 gutgeheissen hat (vgl. dazu unser <a href="https://www.homburger.ch/de/insights/parlament-heisst-revision-des-schweizer-datenschutzgesetzes-gut">Bulletin vom 25. September 2020</a> sowie der <a href="https://cms.homburger.ch/wp-content/uploads/2021/01/Swiss-Data-Protection-Act-of-September-25-2020_02_682151_1.pdf" target="_blank" rel="noopener">hier</a> verfügbare Gesetzestext), dauerte die Revision der zugehörigen Datenschutzverordnung (DSV) bis heute an. Am 31. August 2022 hat der Bundesrat nun die neue DSV verabschiedet und zugleich entschieden, dass das neue DSG und die neue DSV (<a href="https://www.bj.admin.ch/dam/bj/de/data/staat/gesetzgebung/datenschutzstaerkung/vdsg/vo.pdf.download.pdf/vo-d.pdf" target="_blank" rel="noopener">hier</a> abrufbar) auf den 1. September 2023 in Kraft treten. Gleichzeitig hat der Bundesrat auch die neue Verordnung über Datenschutzzertifizierungen verabschiedet. Damit sind die gesetzgeberischen Aktivitäten im Hinblick auf die DSG-Revision abgeschlossen und dem Inkrafttreten des DSG steht nichts mehr im Wege.
<h4>Was bedeuten die heutigen Beschlüsse des Bundesrats?</h4>
Mit den heutigen Beschlüssen des Bundesrats ist klar, welche Ausführungsbestimmungen zum DSG zu berücksichtigen sind und wann die Revision in Kraft tritt. Unternehmen sind nun angehalten, die notwendigen Vorkehrungen zu treffen, um die Umsetzung der neuen Vorgaben bis zum 1. September 2023 sicherzustellen.
<h4>Welches sind die wichtigsten Regelungen der Datenschutzverordnung?</h4>
Folgende Vorgaben der DSV sind für Unternehmen hervorzuheben:
<ul>
<li>Im Bereich der Datensicherheit konkretisiert die DSV den Grundsatz der Angemessenheit der Datensicherheit dahingehend, dass Schutzbedarf der Personendaten und Risiken für die Persönlichkeit und Grundrechte der betroffenen Person anhand der in der DSV festgelegten Kriterien zu beurteilen sind. Zudem definiert die DSV die Schutzziele und gewisse technische und organisatorische Massnahmen, welche das Erreichen dieser Ziele erlauben sollen.</li>
<li>Die in der Vernehmlassung stark kritisierte Norm zur Protokollierung bestimmter Datenbearbeitungen bleibt trotz gegenteiliger Forderungen aus der Praxis bestehen. Sie wurde gegenüber der Vernehmlassungsvorlage zwar eingeschränkt, ohne jedoch an Kontur zu gewinnen. Neu sollen private Verantwortliche und Auftragsbearbeiter, die besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeiten oder die Profilings mit hohem Risiko durchführen, das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten protokollieren, wenn die ergriffenen präventiven Massnahmen den Datenschutz nicht zu gewährleisten vermögen. Die Protokollierung ist während mindestens einem Jahr aufzubewahren, und zwar getrennt vom System, in welchem die Personendaten aufbewahrt werden. Die Tragweite dieser inhaltlich für Verantwortliche und Auftragsbearbeiter einschneidenden Norm ist weiterhin unklar. Insbesondere wird zu klären sein, wann «in grossem Umfang» besonders schützenswerte Daten bearbeitet werden und wann «die präventiven Massnahmen den Datenschutz nicht gewährleisten». Das Bundesamt für Justiz stellt sich im erläuternden Bericht – überraschend und ohne Begründung – auf den Standpunkt, letzteres sei nur selten der Fall. Das überzeugt nicht, ist doch die Gewährleistung des Datenschutzes eine grundsätzliche Prämisse für alle Datenbearbeitungsaktivitäten.</li>
<li>Weiter sieht die DSV eine Pflicht privater Verantwortlicher und Auftragsbearbeiter vor, ein Reglement für automatisierte Datenbearbeitungen zu erlassen und regelmässig zu aktualisieren, wenn sie besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeiten oder Profilings mit hohem Risiko durchführen.</li>
<li>Im Bereich der Auftragsdatenbearbeitung ist die Klarstellung erfreulich, dass die Genehmigung von Unter-Auftragsbearbeitern sowohl spezifisch (d.h. in Bezug auf einen konkreten Unter-Auftragsbearbeiter) als auch allgemein erteilt werden kann. Im letzteren Fall verlangt die DSV eine Information über beabsichtigte Änderungen und ein Widerspruchsrecht zugunsten des Verantwortlichen.</li>
<li>Sodann konkretisiert die DSV weitere Pflichten des Verantwortlichen, so insbesondere die Modalitäten der Informationspflicht, die Dauer der Aufbewahrung der Datenschutz-Folgenabschätzung, sowie die Anforderungen an die Meldung einer Verletzung der Datensicherheit an den EDÖB. Weiter werden gewisse Modalitäten des Auskunftsrechts sowie des Rechts auf Datenherausgabe und -übertragung der betroffenen Person geregelt.</li>
<li>Schliesslich hält die DSV fest, dass die Pflicht zur Führung eines Bearbeitungsverzeichnisses für jene Unternehmen entfällt, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende (wobei der Beschäftigungsgrad keine Rolle spielen soll) beschäftigen und weder besonders schützenswerte Personendaten in grossem Umfang bearbeiten noch Profilings mit hohem Risiko durchführen.</li>
</ul>
<h4>Welchen Staaten attestiert der Bundesrat ein angemessenes Datenschutzniveau?</h4>
Anhang 1 der DSV listet jene Staaten auf, welche über eine angemessene Datenschutzgesetzgebung verfügen. Die Bekanntgabe von Personendaten in diese Staaten ist grundsätzlich zulässig. Die Liste enthält insbesondere sämtliche Mitgliedsstaaten der EU und des EWR und das Vereinigte Königreich sowie in gewissen Bereichen Kanada. Des Weiteren sind auf der Liste: Andorra, Argentinien, Färöer, Gibraltar, Guernsey, Isle of Man, Island, Israel, Jersey, Monaco, Neuseeland und Uruguay.
Bekanntgaben von Personendaten in andere Staaten – so insbesondere auch in die USA – setzen entweder die Anwendung einer konkreten Ausnahmebestimmung oder die Implementierung von alternativen Schutzmassnahmen zur Gewährleistung eines angemessenen Datenschutzes voraus.
<h4>Wozu braucht es die Datenschutzverordnung zusätzlich zum DSG?</h4>
Das DSG räumt dem Bundesrat die Kompetenz zum Erlass gewisser Ausführungsvorschriften zum DSG ein. Davon macht der Bundesrat mit der DSV Gebrauch.
<h4>Wurde die Datenschutzverordnung gegenüber dem Entwurf vom Juni 2021 entschärft?</h4>
Der im Juni 2021 veröffentlichte Entwurf der neuen DSV wurde in der Vernehmlassung scharf kritisiert. Denn der Entwurf sah zahlreiche Bestimmungen vor, welche einschneidende Auswirkungen auf die dem DSG unterstellten Unternehmen gehabt hätten und dabei inhaltlich deutlich über blosse Ausführungsvorschriften hinausgingen. Der Bundesrat hat der Kritik aus der Vernehmlassung immerhin teilweise Rechnung getragen und die nun vorliegende, finale DSV gegenüber dem Entwurf entschärft. So hat der Bundesrat etwa die Regelung der Modalitäten der Informationspflicht sowie die Anforderungen an die Rolle der Datenschutzberaterin gegenüber dem Entwurf erheblich entschlackt und zudem auf gewisse Schriftformerfordernisse verzichtet. Weiterhin deutlich überschiessend scheint die finale DSV jedoch im Bereich der Vorgaben an die Datensicherheit, wo namentlich die Umsetzung der Pflicht zur Protokollierung bestimmter Datenbearbeitungen herausfordernd erscheint.
<h4>Welche Massnahmen sind im Hinblick auf das Inkrafttreten des neuen DSG angezeigt?</h4>
Projekte zur Umsetzung in Unternehmen sollten nun zeitnah in Angriff genommen werden, damit die Unternehmen am 1. September 2023 DSG-konform aufgestellt sind. Für viele Unternehmen wird es insbesondere erforderlich sein, die internen Prozesse und Dokumentation (so etwa Datenschutzerklärungen, Bearbeitungsverzeichnisse, Datenschutz-Folgenabschätzungen, Verträge betr. die Bearbeitung von Personendaten, etc.) zu überprüfen und gegebenenfalls zu aktualisieren bzw. neu einzuführen. Eine kurze Checkliste steht <a href="https://cms.homburger.ch/wp-content/uploads/2023/06/Checkliste-Implementierung-des-neuen-DSG-Juni-2023.pdf" target="_blank" rel="noopener">hier</a> zum Download zur Verfügung.

Homburger Bulletin - DSG Revision

DSG-Revision am Ziel

By way of a note published on its <a href="https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/datenschutzstaerkung.html" target="_blank" rel="noopener">website</a>, the Swiss Federal Office of Justice (FOJ) has just informed that the new Swiss Data Protection Act (DPA) is scheduled to enter into force on September 1, 2023. While the FOJ is cautious to caveat that the final date has yet to be confirmed and decided by the Swiss Federal Council, many companies will be relieved to hear that they will have more time than previously anticipated in order to prepare for the advent of the new DPA. This is even more important considering that the new DPA will not provide for a general transition period, so that companies will have to complete their implementation activities by the time the new DPA enters into force.
Previously, it was anticipated that the new DPA would enter into force already at the beginning of 2023. With the new ordinance on the DPA still not being in final form, this timing would have been tight.
You may find further information on the new DPA in our <a href="https://www.homburger.ch/en/insights/swiss-parliament-approves-revision-of-the-swiss-federal-act-data-protection">Bulletin of September 25, 2020</a> and the text of the new DPA, including an English translation in our <a href="https://cms.homburger.ch/wp-content/uploads/2021/01/Swiss-Data-Protection-Act-of-September-25-2020_02_682151_1.pdf">printable booklet</a>.

New Swiss Data Protection Act Enters Into Force in September 2023

Gesellschaftsrecht / M&A

IP / IT

Datenschutz

Prozesse

Regulierung

Homburger News

Homburger and Apollo Global Management

Homburger advises high-growth, global alternative asset manager Apollo Global Management, Inc. (Apollo; NYSE: APO) on the acquisition of The Travel Corporation (TTC), a leading international travel group. TTC, which has been privately owned and operated for more than a century, is a global portfolio of 18 market leading travel brands, including Trafalgar, a leading escorted tour operator, Uniworld Boutique River Cruises, a luxury all-inclusive river cruise line, Contiki, youth travel specialist tour company, premium guided vacation company Insight Vacations, as well as other global travel brands and supporting business entities.
The Homburger team is led by Daniel Hasler and includes Marco Rostetter, Nicola Togni, Léonard Aeschlimann, Isabelle Cordey and Luc Huber (all Corporate / M&amp;A), Gabriel Kasper (Data Protection and IP / IT) and Manuel Adassery (Regulatory and Litigation).

Homburger advises Apollo Global Management, Inc. on the acquisition of The Travel Corporation

Finanzierungen und Anlageprodukte

Wettbewerb

Arbeitsrecht und Vergütung für Führungskräfte

Steuern

NZZ_web_640x140

Homburger and NZZ

On May 30, 2024, Aktiengesellschaft für die Neue Zürcher Zeitung (NZZ) announced the acquisition of a 25%-stake in APG SGA SA (APG|SGA) from the two anchor shareholders JCDecaux SE and Pargesa Asset Management S.A. for a total consideration of CHF 165 m. The transaction is expected to close in the coming days. JCDecaux SE and Pargesa Asset Management S.A. will remain shareholders in APG|SGA with respective stakes of 16.44% and 13.86%.
The Homburger team advising NZZ is led by Anna Peter and Daniel Daeniker and includes Héloïse de Jamblinne, Matthias Müller, Norina Tröhler and Micha Fankhauser (all Corporate / M&amp;A), Jürg Frick and Stefan Bindschedler (both Financing), Richard Stäuber and Katharina Bratvogel-Wilk (both Competition), Gregor Bühler and Gabriel Kasper (both IP / IT), Frédéric Fitzi (Employment), as well as Dieter Grünblatt and Philippe Weber (both Tax).

Homburger advised NZZ on the acquisition of a strategic 25%-stake in APG|SGA, a leading Out-of-Home Media company in Switzerland

Scaled-Agile-web-640x140

Homburger and Scaled Agile

On April 20, 2023, Scaled Agile Inc., a portfolio company of Eurazeo SE (Euronext Paris: RF), one of Europe&#8217;s leading private equity firms, announced its acquisition of Rentouch, a Swiss-based company specializing in software for visualizing agile planning events across multiple agile teams with SAFe®. This acquisition aims to accelerate Scaled Agile&#8217;s goal to redefine the way the world&#8217;s leading organizations identify and deliver customer value, capitalize on emerging opportunities, and improve business outcomes through integrated solutions that help teams unlock better ways of working.
Homburger advised Scaled Agile in this transaction. The team was led by Dieter Gericke (Corporate/M&amp;A) and included Léonard Aeschlimann (Corporate/M&amp;A), Reto Heuberger, Philippe Weber (both Tax), Gabriel Kasper (IP/IT and Data Protection), Matia Trosic and Frédéric Fitzi (both Employment and Executive Compensation) as well as Pepe Hünerwadel and Florian Gasche (both Corporate/M&amp;A).

Gabriel
Kasper

Homburger advises Apollo Global Management, Inc. on the acquisition of The Travel Corporation

Homburger advised NZZ on the acquisition of a strategic 25%-stake in APG|SGA, a leading Out-of-Home Media company in Switzerland

Homburger advises Scaled Agile on its acquisition of Rentouch

EU Confirms Adequacy of Swiss Data Protection Law

DSG-Revision am Ziel

New Swiss Data Protection Act Enters Into Force in September 2023

People Analytics in privatrechtlichen Arbeitsverhältnissen

§3 Datenschutz-Governance in Unternehmen

People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts

Join the Team

Gabriel Kasper

Karriere

Sprachen

Zulassung

Teams

GabrielKasper

Homburger advises Apollo Global Management, Inc. on the acquisition of The Travel Corporation

Homburger advised NZZ on the acquisition of a strategic 25%-stake in APG|SGA, a leading Out-of-Home Media company in Switzerland

Homburger advises Scaled Agile on its acquisition of Rentouch

EU Confirms Adequacy of Swiss Data Protection Law

DSG-Revision am Ziel

New Swiss Data Protection Act Enters Into Force in September 2023

People Analytics in privatrechtlichen Arbeitsverhältnissen

§3 Datenschutz-Governance in Unternehmen

People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts

Join the Team

Gabriel Kasper

Karriere

Sprachen

Zulassung

Teams

Gabriel
Kasper