Die wichtigsten Neuerungen sind:

1. Ausschliesslicher Schutz von natürlichen Personen: Das nDSG schützt nur noch die Daten natürlicher Personen. Juristische Personen fallen nicht mehr darunter.

2. Besonders schützenswerte Personendaten im nDSG: Zu den besonders schützenswerten Personendaten zählen neu auch genetische und biometrische Daten wie Fingerabdruck oder Retina-Scan sowie Daten über die ethnische Herkunft. Daran hängen Rechtsfolgen bei der Datenschutz-Folgenabschätzung, bei der Einwilligung und bei der Bekanntgabe an Dritte.

3. Erweiterte Informationspflicht: Bei der Beschaffung von Personendaten ist es deine Pflicht, die betroffenen Personen zu informieren. Du musst unter anderem den Bearbeitungszweck mitteilen, wer die Verantwortlichen sind und wie man sie kontaktieren kann.

4. Datenschutzfreundliche Voreinstellung und technischer Datenschutz: Im neuen Datenschutzgesetz der Schweiz liegt eine strengere Sorgfaltspflicht vor. Dabei wird zwischen zwei Begriffen unterschieden: Privacy by Design und Privacy by Default. Privacy by Design bezieht sich auf die Einhaltung der Datenschutzvorschriften bei der Datenbearbeitung. Schon bei der Planung musst du diese Vorschriften und Grundsätze einhalten, um das Risiko gering zu halten. Privacy by Default sorgt durch eine Voreinstellung dafür, dass Personendaten nur für den spezifischen Verwendungszweck bearbeitet werden können.  

5. Datenschutz-Folgenabschätzung: Wenn eine Datenbearbeitung ein hohes Risiko birgt, vor allem für das Grundrecht einer betroffenen Person oder der Persönlichkeit, ist laut nDSG eine Datenschutz-Folgenabschätzung verpflichtend. Darin musst du die geplante Arbeit, eventuelle Risiken und Massnahmen dagegen darlegen.

6. Meldung von Verletzungen des Datenschutzes: Liegt eine Verletzung des Datenschutzes vor, bist du als verantwortliche Person zu einer schnellen Meldung verpflichtet. Dem EDÖB musst du mitteilen, ob ein Risiko für die Persönlichkeit der betroffenen Person besteht. Ausserdem musst du die betroffene Person informieren, falls das erforderlich ist.

7. Strafbestimmungen im neuen Datenschutzgesetz: Der Katalog der Strafbestimmungen wurde erweitert, die Busse liegt bei bis zu 250’000 Franken. Gebüsst wird die verantwortliche natürliche Person, nicht das Unternehmen. Kommt eine Busse von höchstens 50’000 Franken in Betracht und wäre die Ermittlung der verantwortlichen Person unverhältnismässig aufwendig, kann die Behörde stattdessen den Geschäftsbetrieb verurteilen. Der EDÖB kann wie bisher verwaltungsrechtliche Massnahmen ergreifen, etwa eine Bearbeitung untersagen oder Löschungen verlangen. Neu kann er von sich aus Untersuchungen eröffnen und Verfügungen erlassen. Wer sich dagegen wehren will, muss vor Bundesverwaltungsgericht.  

8. Profiling: Der Begriff kam neu ins Gesetz. Profiling ist die automatisierte Bearbeitung von Personendaten mit dem Zweck, persönliche Aspekte einer Person zu bewerten, etwa ihre Arbeitsleistung, ihre Zuverlässigkeit oder ihr Verhalten.