Datenschutz-Folgenabschätzung- Wann ist sie für Pensionskassen in der Schweiz erforderlich

Mit dem revidierten Schweizer Datenschutzgesetz (DSG) wurden die Anforderungen an den Umgang mit personenbezogenen Daten deutlich verschärft. Eine zentrale Neuerung ist die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA), wenn eine geplante Datenbearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann. Für Pensionskassen, die regelmäßig besonders schützenswerte Personendaten verarbeiten – etwa Gesundheitsinformationen, Leistungsdaten oder versicherungstechnische Angaben – gewinnt diese Thematik zunehmend an Relevanz. Die DSFA soll dem Verantwortlichen die Möglichkeit bieten, sie frühzeitig mit den Risiken einer Datenbearbeitung auseinanderzusetzen und Maßnahmen zur Minimierung der Risiken zu identifizieren sowie die technischen und organisatorischen Massnahmen den zu erwartenden Risiken anzupassen.

Kriterien für eine DSFA nach Schweizer DSG

Eine DSFA ist gemäß Art. 22 DSG u.a. durchzuführen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringen kann. Dies ist üblicherweise der Fall bei einer umfangreichen Bearbeitung von besonders schützenswerten Personendaten. Dazu zählen Gesundheitsdaten und Daten über Massnahmen der sozialen Hilfe. Ein hohes Risiko kann sich auch ergeben, wenn neue Technologien eingesetzt werden. Laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gehört auch «Profiling mit hohem Risiko» i.S.d. Art. 5 lit. g) DSG dazu. Bei Bundesorganen ist stets zu prüfen, ob Art, Umfang oder Umständen der Bearbeitung ein hohes Risiko für die Grundrechte der Betroffenen mit sich bringt. Dies könnten Einschränkungen des Rechtes auf informationelle Selbstbestimmung oder das Recht auf Privatsphäre sein. Indikatoren für risikoreiche Bearbeitung bezüglich des Umfanges der Datenbearbeitung sind grosse Menge an Personendaten, grosse Anzahl an betroffenen Personen, langandauernde Bearbeitung oder Bearbeitung auf einem grossen Gebiet in geographischer Hinsicht. Eine Orientierung zur Einschätzung von Risiken bietet das Verfahren zur Risikovorprüfung, das vom Bundesamt für Justiz entwickelt wurde, siehe: https://www.bj.admin.ch/dam/bj/de/data/staat/datenschutz/instrument-risikovorpruefung.xlsx.download.xlsx/instrument-risikovorpruefung-d.xlsx

Die Durchführung einer DSFA kann notwendig sein, wenn die Pensionskasse für die Datenverarbeitung und Speicherung eine Cloud-Lösung. Ebenso kann ein Wechsel des oder der Outsourcing-Partner(s) eine DSFA notwendig machen, etwa wenn die technische Verwaltung an einen Dritten ausgelagert wurde und dieser Dienstleistungsanbieter gewechselt werden soll

Vorgehen und Methodik

Die Beurteilung, ob eine DSFA erforderlich ist, ist Aufgabe der verantwortlichen Stelle. Nach Artikel 26 Datenschutzverordnung (DSV) berät der Datenschutzberater das verantwortliche Bundesorgan bei der Erstellung der DSFA überprüft deren Ausführung. Das DSG gibt den Rahmen vor, überlässt die konkrete Umsetzung aber weitgehend dem Verantwortlichen. Nach Art. 22 Abs. 3 DSG muss die DSFA eine Beschreibung der geplanten Bearbeitung enthalten, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Maßnahmen zum Schutz der Persönlichkeit und der Grundrechte. Die folgenden Schritte haben sich in der Praxis bewährt:

  1. Führen Sie eine Schwellwertanalyse durch um die Notwendigkeit einer DSFA zu ermitteln. Dabei ist zumindest zu prüfen, ob eine umfangreiche Bearbeitung schützenswerter Personendaten vorliegt oder öffentliche Bereiche systematisch und umfangreich überwacht werden.
  1. Führen Sie die DSFA durch
  • Beschreiben Sie die geplante Datenbearbeitung: Die Beschreibung umfasst die Art, den Zweck, den Umfang, die Dauer und die Beteiligten (z. B. IT-Dienstleister) der Datenbearbeitung. Ergänzend sollten die Sachverhalte dokumentiert werden, die zu einem hohen Risiko beitragen.

  • Identifizieren Sie die Risiken: Diese können sein Informationssicherheitsrisiken (z.B. Systemausfall und Datenverlust, Datenmanipulation oder mangelnde Verfügbarkeit) und Datenschutzrisiken (z. B. Zweckentfremdung, unbefugter Zugriff, inkorrekte Datenverarbeitung, fehlende Betroffenenrechte).

  • Bewerten Sie die Risiken in Bezug auf Persönlichkeit und Grundrechte und geben Sie eine Einschätzung der Eintrittswahrscheinlichkeit und Auswirkungen – etwa Diskriminierung, finanzielle Nachteile oder Einschränkungen der informationellen Selbstbestimmung oder das Recht auf Privatsphäre.

  • Definieren Sie Schutzmassnahmen zur Abmilderung (z.B. Datenminimierung, Zugriffsbeschränkungen, Verschlüsselung, regelmäßige Audits und Sensibilisierung der Mitarbeitenden) und ordnen Sie die Schutzmassnahmen den Risiken zu.

  • Bewerten Sie die Restrisiken. Besteht nach Durchführung der DSFA weiterhin ein hohes Risiko, ist der EDÖB vor Aufnahme der Datenbearbeitung zu konsultieren. Der EDÖB gibt innert 2 Monaten eine Stellungnahme ab, die im Ergebnis der DSFA dokumentiert wird.

Die DSFA ist schriftlich festzuhalten. Sie dient als Nachweis gegenüber Aufsichtsbehörden und muss laut Art. 14 DSV nach Beendigung der Datenbearbeitung für mindestens zwei Jahren aufbewahrt werden.