Eine Vertretung in der Schweiz ist vereinfacht gesagt das Spiegelbild des EU-Vertreters, wie ihn Art. 27 der Datenschutz-Grundverordnung (DSGVO) von Unternehmen ausserhalb der EU verlangt bzw. des UK Representatives, wie ihn Art. 27 der United Kingdom General Data Protection Regulation (UK GDPR) von Unternehmen ausserhalb des Vereinigten Königreichs verlangt.

Die Vorgaben für die verpflichtende Bezeichnung einer Vertretung in der Schweiz finden sich in Art. 14 DSG. Demnach müssen private Verantwortliche mit Sitz oder Wohnsitz ausserhalb der Schweiz einen Schweiz-Vertreter bezeichnen bzw. benennen, wenn die Unternehmen personenbezogene Daten von Menschen, die sich in der Schweiz aufhalten, bearbeiten. Die Datenbearbeitung muss alle folgenden Voraussetzungen erfüllen:

• Die Bearbeitung steht im Zusammenhang mit dem Angebot von Waren und Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz.
• Es handelt sich um eine umfangreiche Bearbeitung.
• Es handelt sich um eine regelmässige Bearbeitung.
• Die Bearbeitung bringt ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich.

Der EDÖB kann auch als Verwaltungsmassnahme im Sinne von Art. 51 DSG anordnen, dass ein Unternehmen mit Sitz oder Wohnsitz im Ausland einen Schweiz-Vertreter bezeichnet.

Behörden oder öffentliche Stellen sowie Auftragsbearbeiter müssen keinen Schweiz-Vertreter bezeichnen.

Für private Verantwortliche besteht nur dann keine Notwendigkeit, eine Vertretung in der Schweiz zu bezeichnen, wenn die Bearbeitung von Daten

• nur gelegentlich erfolgt,
• nicht umfangreich ist oder
• kein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt.

Dabei sind stets die Art, die Umstände, der Zweck sowie das Risiko für die Rechte und Freiheiten der Betroffenen zu berücksichtigen. Insbesondere bei Online-Unternehmen dürfte eine solche Ausnahme wohl kaum zum Tragen kommen.

Achtung: Die oben genannten Ausnahmen von der Bestellungspflicht für einen Schweiz-Vertreter greifen nur dann, wenn alle Bearbeitungen eines Verantwortlichen davon abgedeckt sind. Ist auch nur eine einzige Bearbeitung umfangreich oder nicht nur gelegentlich, ist ein Schweiz-Vertreter zu benennen.

Als Vertretung in der Schweiz können bezeichnet bzw. benannt werden natürliche Personen, Unternehmen oder andere Organisationen, die ihren Sitz in der Schweiz haben.

Die vertragliche Beziehung zwischen Vertreter und Verantwortlichen ergibt sich aus Art.394 ff. aus dem Obligationsrecht (OR) (SR 220). Somit ist der Vertreter zu sorgfältigem Handeln verpflichtet. Im Umkehrschluss bedeutet dies, dass der Vertreter die persönliche und organisatorische Fähigkeit zur Wahrnehmung der Vertreterpflichten haben muss.

Eine nachzuweisende fachliche Qualifikation wird dagegen vom Gesetz nicht verlangt. In der Praxis sollten Schweiz-Vertreter aber über nachweisbare Erfahrungen in mindestens folgenden Gebieten verfügen:

• sehr gute Kenntnisse des Schweizer Datenschutzrechts (Datenschutzgesetz, Datenschutzverordnung (DSV), Verordnung über Datenschutzzertifizierungen (VDSZ)) sowie themenverwandte Erlasse;
• sehr gute Kenntnisse der DSGVO, um Datenbearbeitungen im ausländischen Unternehmen beurteilen bzw. ggfs. erklären zu können;
• sehr gute Kenntnisse der Informations- und IT-Sicherheit sowie entsprechender gesetzlicher Regelungen,
• praktische Erfahrung bei der Umsetzung gesetzlicher Vorgaben zu Datenbearbeitungen,
• Erfahrung im Umgang mit Aufsichtsbehörden und Betroffenen.

Zudem ist es ratsam, dass ein Schweiz-Vertreter in den Amtssprachen der Schweiz (Deutsch, Französisch, Italienisch und Rätoromanisch) mit Betroffenen kommunizieren kann.

Die Aufgaben und Pflichten der Vertretung ausländischer Unternehmen in der Schweiz regelt Art. 15. DSG.

Die vorrangige Aufgabe des Schweiz-Vertreters ist es, Anlaufstelle für betroffene Personen und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu sein. Dabei kann der Schweiz-Vertreter rechtswirksam Erklärungen abgeben und solche in Vertretung empfangen.

Die Vertretung in der Schweiz kann von der Aufsichtsbehörde in die Pflicht genommen werden, alle relevanten Informationen bereitzuhalten, die zur Aufklärung von datenschutzrechtlichen Sachverhalten notwendig sind. Arbeitet der Schweizer-Vertreter nicht ausreichend mit dem EDÖB zusammen, besteht ein Sanktionsrisiko.

Daneben legt das DSG fest, dass der Schweiz-Vertreter ein Verzeichnis aller Bearbeitungstätigkeiten, die im oder mit Bezug auf Personen in der Schweiz anfallen, vorzuhalten hat. Inwiefern die Erstellung, Pflege und Ergänzung des Verzeichnisses vom Schweiz-Vertreter selbst zu gewährleisten sind, ist gesetzlich nicht konkret geregelt. Vertraglich kann das der Vertretung in der Schweiz jedoch übertragen werden.

Die Bestellung eines Schweiz-Vertreters bringt keinen Haftungsausschluss für den Verantwortlichen mit sich. Verantwortliche sind weiterhin nach den Grundsätzen des DSG für Haftungsfälle heranzuziehen und müssen sich das Verhalten ihres Vertreters zurechnen lassen. Die Vertretung in der Schweiz ist zumindest im Aussenverhältnis nicht selbst haftbar.

Verstösst der Schweiz-Vertreter hingegen gegen seine Vereinbarung mit dem Verantwortlichen oder Auftragsbearbeiter, kann er im Innenverhältnis je nach Ausgestaltung des Vertrages haftbar gemacht werden.

Dass eine Haftung des Schweiz-Vertreters nicht vorgesehen ist, zeigt auch der Schadensersatzanspruch gemäss 8. Kapitel des DSG (Art. 60 ff.). Hier werden die Strafen dem Verantwortlichen auferlegt.

Auch wenn das DSG keine zivilrechtliche Haftung vorsieht, kann eine von der Datenbearbeitung betroffenen Person für einen Schaden aus unerlaubter Handlung gegen den Vertreter vorgehen, sofern die Voraussetzungen von Art. 41 OR erfüllt sind.