Datenschutz – Vergleich mit der Schweiz
Die PDF-Ausgabe lesen (3 Seiten)
Das Schweizer und das singapurische Regime ähneln sich im Aufbau und unterscheiden sich in der Durchsetzung. Die Schweiz kennt keine Verwaltungsbußen gegen Organisationen. Ihre Sanktionen sind strafrechtliche Bußen von bis zu 250.000 CHF gegen die verantwortlichen natürlichen Personen, was die Aufmerksamkeit eines Compliance Officers auf andere Weise schärft.1 Singapur verhängt gegen die Organisation Bußgelder von bis zu 10 Prozent des lokalen Umsatzes. Die Schweiz verlangt die Meldung einer Datenschutzverletzung „so rasch als möglich“, wenn sie voraussichtlich zu einem hohen Risiko führt. Singapur gewährt drei Tage nach der Bewertung und setzt einen zahlenmäßigen Schwellenwert. Die Schweiz behandelt Daten über eine bestimmbare Person ebenso wie Singapur als personenbezogen und hat dieselben Schwierigkeiten mit öffentlichen Blockchains. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat dazu keine Leitlinien veröffentlicht, die mit dem singapurischen Leitfaden vergleichbar wären. Eine Gruppe, die ihr Datenschutzprogramm am singapurischen Standard ausrichtet, wird in der Regel auch den Schweizer erfüllen. Hinzu kommen die spezifisch schweizerischen Dokumente: das Verzeichnis der Bearbeitungstätigkeiten und die Datenschutz-Folgenabschätzung für Bearbeitungen mit hohem Risiko.2
Grenzüberschreitende Perspektive
Sie können für eine Gruppe mit Standorten in Zug und Singapur ein einziges Datenschutzprogramm führen, wenn Sie in jedem Punkt die strengere Regel übernehmen. Halten Sie personenbezogene Daten von jeder öffentlichen Chain fern. Behandeln Sie Wallet-Adressen, die mit bekannten Kunden verknüpft sind, an beiden Orten als personenbezogene Daten. Verwenden Sie für jede Übermittlung aus der Schweiz die EU-Standardvertragsklauseln mit Schweizer Anpassungen und für jede Übermittlung aus Singapur eine verbindliche konzerninterne Vereinbarung. Stellen Sie die Meldefrist bei Datenschutzverletzungen auf die kürzeste anwendbare Frist ein. Das ist für lizenzierte Einheiten die einstündige Meldung von Vorfällen an die MAS und für personenbezogene Daten die dreitägige Meldung an die PDPC. Ein so aufgebautes Programm hält einer Prüfung durch beide Aufsichtsbehörden stand. Wichtiger noch: Es hält der Aufmerksamkeit derjenigen stand, die Kryptounternehmen wegen ihrer Kundenlisten angreifen.
Anmerkungen
- Art. 60–63 DSG (SR 235.1). ↩
- Art. 12 (Verzeichnis der Bearbeitungstätigkeiten) und Art. 22 (Datenschutz-Folgenabschätzung) DSG (SR 235.1). ↩
Nur zur allgemeinen Information. Dieser Artikel ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Er gibt die Rechtslage zum Stand Oktober 2026 wieder.