On January 15, 2024, the EU Commission published its <a href="https://commission.europa.eu/system/files/2024-01/JUST_template_comingsoon_Report%20on%20the%20first%20review%20of%20the%20functioning.pdf">report</a> on the results of its first review of the adequacy decisions previously taken under the old EU Data Protection Directive. The EU Commission concludes that Switzerland continues to provide an adequate level of protection for personal data transferred from the EU.
According to its report, the EU Commission welcomes the developments in the Swiss legal framework since the adoption of the first adequacy decision in July 2000, including in particular the modernization of the Swiss Data Protection Act (cf. our <a href="https://www.homburger.ch/en/insights/revision-of-the-swiss-data-protection-law-is-complete">Bulletin</a> of August 31, 2022). These developments have contributed to an increased level of data protection, in a manner sufficient for the EU Commission to maintain its adequacy decision.
Maintaining the EU adequacy decision was one of the main objectives of the revision of the Swiss Data Protection Act, which entered into force on September 1, 2023: Without the EU&#8217;s recognition of the adequacy of Swiss data protection law, the export of personal data from the EU to Switzerland would have become much more burdensome. Today&#8217;s confirmation by the EU Commission thus marks the achievement of a key goal in the efforts to modernize Swiss data protection law in a manner consistent with the EU General Data Protection Regulation (GDPR).
The review of adequacy decisions by the EU Commission, which has now been completed, is the first such review since the GDPR came into force in 2018. The GDPR calls for regular reviews, and the EU underlines its intention to further intensify dialogue and cooperation with like-minded international partners on data flows and digital issues in general.

EU Confirms Adequacy of Swiss Data Protection Law

<h3>Der Bundesrat verabschiedet die neue Verordnung zum neuen DSG und setzt die DSG-Revision auf den 1. September 2023 in Kraft</h3>
<h4>Was hat der Bundesrat heute entschieden?</h4>
Während das Parlament das neue Schweizer Datenschutzgesetz (DSG) bereits am 25. September 2020 gutgeheissen hat (vgl. dazu unser <a href="https://www.homburger.ch/de/insights/parlament-heisst-revision-des-schweizer-datenschutzgesetzes-gut">Bulletin vom 25. September 2020</a> sowie der <a href="https://cms.homburger.ch/wp-content/uploads/2021/01/Swiss-Data-Protection-Act-of-September-25-2020_02_682151_1.pdf" target="_blank" rel="noopener">hier</a> verfügbare Gesetzestext), dauerte die Revision der zugehörigen Datenschutzverordnung (DSV) bis heute an. Am 31. August 2022 hat der Bundesrat nun die neue DSV verabschiedet und zugleich entschieden, dass das neue DSG und die neue DSV (<a href="https://www.bj.admin.ch/dam/bj/de/data/staat/gesetzgebung/datenschutzstaerkung/vdsg/vo.pdf.download.pdf/vo-d.pdf" target="_blank" rel="noopener">hier</a> abrufbar) auf den 1. September 2023 in Kraft treten. Gleichzeitig hat der Bundesrat auch die neue Verordnung über Datenschutzzertifizierungen verabschiedet. Damit sind die gesetzgeberischen Aktivitäten im Hinblick auf die DSG-Revision abgeschlossen und dem Inkrafttreten des DSG steht nichts mehr im Wege.
<h4>Was bedeuten die heutigen Beschlüsse des Bundesrats?</h4>
Mit den heutigen Beschlüssen des Bundesrats ist klar, welche Ausführungsbestimmungen zum DSG zu berücksichtigen sind und wann die Revision in Kraft tritt. Unternehmen sind nun angehalten, die notwendigen Vorkehrungen zu treffen, um die Umsetzung der neuen Vorgaben bis zum 1. September 2023 sicherzustellen.
<h4>Welches sind die wichtigsten Regelungen der Datenschutzverordnung?</h4>
Folgende Vorgaben der DSV sind für Unternehmen hervorzuheben:
<ul>
<li>Im Bereich der Datensicherheit konkretisiert die DSV den Grundsatz der Angemessenheit der Datensicherheit dahingehend, dass Schutzbedarf der Personendaten und Risiken für die Persönlichkeit und Grundrechte der betroffenen Person anhand der in der DSV festgelegten Kriterien zu beurteilen sind. Zudem definiert die DSV die Schutzziele und gewisse technische und organisatorische Massnahmen, welche das Erreichen dieser Ziele erlauben sollen.</li>
<li>Die in der Vernehmlassung stark kritisierte Norm zur Protokollierung bestimmter Datenbearbeitungen bleibt trotz gegenteiliger Forderungen aus der Praxis bestehen. Sie wurde gegenüber der Vernehmlassungsvorlage zwar eingeschränkt, ohne jedoch an Kontur zu gewinnen. Neu sollen private Verantwortliche und Auftragsbearbeiter, die besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeiten oder die Profilings mit hohem Risiko durchführen, das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten protokollieren, wenn die ergriffenen präventiven Massnahmen den Datenschutz nicht zu gewährleisten vermögen. Die Protokollierung ist während mindestens einem Jahr aufzubewahren, und zwar getrennt vom System, in welchem die Personendaten aufbewahrt werden. Die Tragweite dieser inhaltlich für Verantwortliche und Auftragsbearbeiter einschneidenden Norm ist weiterhin unklar. Insbesondere wird zu klären sein, wann «in grossem Umfang» besonders schützenswerte Daten bearbeitet werden und wann «die präventiven Massnahmen den Datenschutz nicht gewährleisten». Das Bundesamt für Justiz stellt sich im erläuternden Bericht – überraschend und ohne Begründung – auf den Standpunkt, letzteres sei nur selten der Fall. Das überzeugt nicht, ist doch die Gewährleistung des Datenschutzes eine grundsätzliche Prämisse für alle Datenbearbeitungsaktivitäten.</li>
<li>Weiter sieht die DSV eine Pflicht privater Verantwortlicher und Auftragsbearbeiter vor, ein Reglement für automatisierte Datenbearbeitungen zu erlassen und regelmässig zu aktualisieren, wenn sie besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeiten oder Profilings mit hohem Risiko durchführen.</li>
<li>Im Bereich der Auftragsdatenbearbeitung ist die Klarstellung erfreulich, dass die Genehmigung von Unter-Auftragsbearbeitern sowohl spezifisch (d.h. in Bezug auf einen konkreten Unter-Auftragsbearbeiter) als auch allgemein erteilt werden kann. Im letzteren Fall verlangt die DSV eine Information über beabsichtigte Änderungen und ein Widerspruchsrecht zugunsten des Verantwortlichen.</li>
<li>Sodann konkretisiert die DSV weitere Pflichten des Verantwortlichen, so insbesondere die Modalitäten der Informationspflicht, die Dauer der Aufbewahrung der Datenschutz-Folgenabschätzung, sowie die Anforderungen an die Meldung einer Verletzung der Datensicherheit an den EDÖB. Weiter werden gewisse Modalitäten des Auskunftsrechts sowie des Rechts auf Datenherausgabe und -übertragung der betroffenen Person geregelt.</li>
<li>Schliesslich hält die DSV fest, dass die Pflicht zur Führung eines Bearbeitungsverzeichnisses für jene Unternehmen entfällt, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende (wobei der Beschäftigungsgrad keine Rolle spielen soll) beschäftigen und weder besonders schützenswerte Personendaten in grossem Umfang bearbeiten noch Profilings mit hohem Risiko durchführen.</li>
</ul>
<h4>Welchen Staaten attestiert der Bundesrat ein angemessenes Datenschutzniveau?</h4>
Anhang 1 der DSV listet jene Staaten auf, welche über eine angemessene Datenschutzgesetzgebung verfügen. Die Bekanntgabe von Personendaten in diese Staaten ist grundsätzlich zulässig. Die Liste enthält insbesondere sämtliche Mitgliedsstaaten der EU und des EWR und das Vereinigte Königreich sowie in gewissen Bereichen Kanada. Des Weiteren sind auf der Liste: Andorra, Argentinien, Färöer, Gibraltar, Guernsey, Isle of Man, Island, Israel, Jersey, Monaco, Neuseeland und Uruguay.
Bekanntgaben von Personendaten in andere Staaten – so insbesondere auch in die USA – setzen entweder die Anwendung einer konkreten Ausnahmebestimmung oder die Implementierung von alternativen Schutzmassnahmen zur Gewährleistung eines angemessenen Datenschutzes voraus.
<h4>Wozu braucht es die Datenschutzverordnung zusätzlich zum DSG?</h4>
Das DSG räumt dem Bundesrat die Kompetenz zum Erlass gewisser Ausführungsvorschriften zum DSG ein. Davon macht der Bundesrat mit der DSV Gebrauch.
<h4>Wurde die Datenschutzverordnung gegenüber dem Entwurf vom Juni 2021 entschärft?</h4>
Der im Juni 2021 veröffentlichte Entwurf der neuen DSV wurde in der Vernehmlassung scharf kritisiert. Denn der Entwurf sah zahlreiche Bestimmungen vor, welche einschneidende Auswirkungen auf die dem DSG unterstellten Unternehmen gehabt hätten und dabei inhaltlich deutlich über blosse Ausführungsvorschriften hinausgingen. Der Bundesrat hat der Kritik aus der Vernehmlassung immerhin teilweise Rechnung getragen und die nun vorliegende, finale DSV gegenüber dem Entwurf entschärft. So hat der Bundesrat etwa die Regelung der Modalitäten der Informationspflicht sowie die Anforderungen an die Rolle der Datenschutzberaterin gegenüber dem Entwurf erheblich entschlackt und zudem auf gewisse Schriftformerfordernisse verzichtet. Weiterhin deutlich überschiessend scheint die finale DSV jedoch im Bereich der Vorgaben an die Datensicherheit, wo namentlich die Umsetzung der Pflicht zur Protokollierung bestimmter Datenbearbeitungen herausfordernd erscheint.
<h4>Welche Massnahmen sind im Hinblick auf das Inkrafttreten des neuen DSG angezeigt?</h4>
Projekte zur Umsetzung in Unternehmen sollten nun zeitnah in Angriff genommen werden, damit die Unternehmen am 1. September 2023 DSG-konform aufgestellt sind. Für viele Unternehmen wird es insbesondere erforderlich sein, die internen Prozesse und Dokumentation (so etwa Datenschutzerklärungen, Bearbeitungsverzeichnisse, Datenschutz-Folgenabschätzungen, Verträge betr. die Bearbeitung von Personendaten, etc.) zu überprüfen und gegebenenfalls zu aktualisieren bzw. neu einzuführen. Eine kurze Checkliste steht <a href="https://cms.homburger.ch/wp-content/uploads/2023/06/Checkliste-Implementierung-des-neuen-DSG-Juni-2023.pdf" target="_blank" rel="noopener">hier</a> zum Download zur Verfügung.

Homburger Bulletin - DSG Revision

DSG-Revision am Ziel

By way of a note published on its <a href="https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/datenschutzstaerkung.html" target="_blank" rel="noopener">website</a>, the Swiss Federal Office of Justice (FOJ) has just informed that the new Swiss Data Protection Act (DPA) is scheduled to enter into force on September 1, 2023. While the FOJ is cautious to caveat that the final date has yet to be confirmed and decided by the Swiss Federal Council, many companies will be relieved to hear that they will have more time than previously anticipated in order to prepare for the advent of the new DPA. This is even more important considering that the new DPA will not provide for a general transition period, so that companies will have to complete their implementation activities by the time the new DPA enters into force.
Previously, it was anticipated that the new DPA would enter into force already at the beginning of 2023. With the new ordinance on the DPA still not being in final form, this timing would have been tight.
You may find further information on the new DPA in our <a href="https://www.homburger.ch/en/insights/swiss-parliament-approves-revision-of-the-swiss-federal-act-data-protection">Bulletin of September 25, 2020</a> and the text of the new DPA, including an English translation in our <a href="https://cms.homburger.ch/wp-content/uploads/2021/01/Swiss-Data-Protection-Act-of-September-25-2020_02_682151_1.pdf">printable booklet</a>.

New Swiss Data Protection Act Enters Into Force in September 2023

Gesellschaftsrecht / M&A

Steuern

IP / IT

Datenschutz

Arbeitsrecht und Vergütung für Führungskräfte

Scaled-Agile-web-640x140

Homburger News

Homburger and Scaled Agile

On April 20, 2023, Scaled Agile Inc., a portfolio company of Eurazeo SE (Euronext Paris: RF), one of Europe&#8217;s leading private equity firms, announced its acquisition of Rentouch, a Swiss-based company specializing in software for visualizing agile planning events across multiple agile teams with SAFe®. This acquisition aims to accelerate Scaled Agile&#8217;s goal to redefine the way the world&#8217;s leading organizations identify and deliver customer value, capitalize on emerging opportunities, and improve business outcomes through integrated solutions that help teams unlock better ways of working.
Homburger advised Scaled Agile in this transaction. The team was led by Dieter Gericke (Corporate/M&amp;A) and included Léonard Aeschlimann (Corporate/M&amp;A), Reto Heuberger, Philippe Weber (both Tax), Gabriel Kasper (IP/IT and Data Protection), Matia Trosic and Frédéric Fitzi (both Employment and Executive Compensation) as well as Pepe Hünerwadel and Florian Gasche (both Corporate/M&amp;A).

Homburger advises Scaled Agile on its acquisition of Rentouch

Wettbewerb

Immobilien

Finanzierungen und Anlageprodukte

Regulierung

Homburger for Implenia

Homburger and Implenia

On March 30, 2023, Implenia AG (SIX: IMPN), Switzerland&#8217;s leading real estate and construction service provider, announced that it had agreed to purchase Wincasa AG for CHF 171.6 m from Swiss Prime Site AG (SIX: SPSN). Wincasa is the leading Swiss real estate service provider with more than 250,000 managed properties, CHF 81 bn in assets under management and 1,350 employees (FTE). The closing of the transaction is planned for the second quarter of 2023, subject to regulatory approvals.
Homburger acts as counsel to Implenia. The Homburger team is led by Marcel Dietrich (Competition, Real Estate) and Daniel Häusermann (Corporate / M&amp;A, Real Estate) and comprises Peter Müller (Tax), Oriana Schöni (Corporate / M&amp;A), Gabriel Kasper, Kristina Martinovic and Hélène Bruderer (IP / IT), Allegra Arnold and Jonas Krull (Competition), Stefan Kramer, Manuel Baschung and Daniel Junginger (Financing and Investment Products / Regulatory), Gregor Bühler and Sebastian Wyler (Employment and Executive Compensation), as well as Anna Delia Lohmann and Giulia Meier.

Homburger advised Implenia on the acquisition of Wincasa

StoneX

On November 1, 2022, StoneX Group Inc. (NASDAQ: SNEX), a global financial services company, announced that it had acquired Cotton Distributors Inc. (CDI).
CDI operates a global cotton merchant business and is headquartered in Lausanne, Switzerland with an office in Brazil.
Homburger advised StoneX as lead and Swiss counsel in this transaction. The Homburger team was led by partner Daniel Häusermann (Corporate / M&amp;A) and included partner Reto Heuberger and counsel Peter Müller (both Tax), associates Léonard Aeschlimann, Romain Fakhoury (both Corporate / M&amp;A), Philippe Weber (Tax), Simone Gloor (Financing and Investment Products) and Gabriel Kasper (Data Protection) as well as junior associate Thomas Leu (Corporate / M&amp;A).

Gabriel
Kasper

Homburger advises Scaled Agile on its acquisition of Rentouch

Homburger advised Implenia on the acquisition of Wincasa

Homburger advised StoneX on the acquisition of Cotton Distributors Inc.

EU Confirms Adequacy of Swiss Data Protection Law

DSG-Revision am Ziel

New Swiss Data Protection Act Enters Into Force in September 2023

People Analytics in privatrechtlichen Arbeitsverhältnissen

§3 Datenschutz-Governance in Unternehmen

People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts

Join the Team

Gabriel Kasper

Karriere

Sprachen

Zulassung

Teams

GabrielKasper

Homburger advises Scaled Agile on its acquisition of Rentouch

Homburger advised Implenia on the acquisition of Wincasa

Homburger advised StoneX on the acquisition of Cotton Distributors Inc.

EU Confirms Adequacy of Swiss Data Protection Law

DSG-Revision am Ziel

New Swiss Data Protection Act Enters Into Force in September 2023

People Analytics in privatrechtlichen Arbeitsverhältnissen

§3 Datenschutz-Governance in Unternehmen

People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts

Join the Team

Gabriel Kasper

Karriere

Sprachen

Zulassung

Teams

Gabriel
Kasper