Datenschutzrecht wirkt über die Grenze. Ein Unternehmen ohne Niederlassung in der Schweiz kann dem Schweizer DSG unterstehen, und ein Schweizer Unternehmen ohne Niederlassung in der EU der DSGVO. Damit Betroffene und Behörden trotzdem eine Ansprechperson vor Ort haben, verlangen beide Rechtsordnungen unter bestimmten Voraussetzungen einen Vertreter.
Vertreter in der Schweiz nach Art. 14 DSG
Private Verantwortliche mit Sitz oder Wohnsitz im Ausland müssen einen Vertreter in der Schweiz bezeichnen, wenn sie Personendaten von Personen in der Schweiz bearbeiten und die Bearbeitung kumulativ vier Voraussetzungen erfüllt: Sie steht im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen in der Schweiz oder der Beobachtung des Verhaltens dieser Personen, sie ist umfangreich, sie erfolgt regelmässig, und sie bringt ein hohes Risiko für die Persönlichkeit der Betroffenen mit sich. Weil alle Bedingungen zusammen erfüllt sein müssen, ist die Pflicht enger als in der EU.
Aufgaben des Vertreters
Der Vertreter ist Anlaufstelle für Betroffene und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten. Nach Art. 15 DSG führt er ein Verzeichnis der Bearbeitungstätigkeiten des Verantwortlichen und erteilt dem EDÖB auf Anfrage Auskunft. Name und Adresse des Vertreters müssen veröffentlicht werden, typischerweise in der Datenschutzerklärung.
EU-Vertreter für Schweizer Unternehmen
Für Schweizer Unternehmen ist häufiger die umgekehrte Frage relevant. Wer ohne Niederlassung in der EU Personen in der EU gezielt Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet, fällt nach Art. 3 Abs. 2 DSGVO unter die DSGVO und muss nach Art. 27 DSGVO in aller Regel einen Vertreter in einem Mitgliedstaat bezeichnen, in dem sich betroffene Personen befinden. Ausnahmen gelten für gelegentliche Bearbeitungen ohne umfangreiche Verarbeitung besonderer Kategorien und mit geringem Risiko. Ein Schweizer SaaS-Anbieter mit Kundschaft in Deutschland sollte diese Frage deshalb früh klären.
Abgrenzung
Der Vertreter ist nicht dasselbe wie der Datenschutzbeauftragte: Dieser berät und überwacht intern, der Vertreter ist eine externe Kontaktstelle. Er ersetzt auch keine Rechtsgrundlage für Datenübermittlungen. Viele Unternehmen beauftragen dafür spezialisierte Dienstleister; die Bestellung gehört in die Dokumentation zusammen mit dem Bearbeitungsverzeichnis.