Herr Vasella, wie erleben Sie die Umsetzung des neuen Datenschutzgesetzes? Es gibt noch immer viele Unternehmen, die sich mit dem neuen Datenschutzgesetz kaum auseinandergesetzt haben. Das betrifft den Gesundheitsbereich allerdings etwas weniger als etwa die Industrie. Die Umsetzung selbst lässt sich aber recht gut und mit überschaubarem Aufwand bewältigen, wenn ein Unternehmen bereit ist, mit gewissen Restrisiken zu leben.

Was meinen Sie mit Restrisiken? Schliesslich drohen Bussen bis 250'000 Franken. Wie in anderen Bereichen ist eine vollständige Compliance, also eine wortgetreue Umsetzung der gesetzlichen Anforderungen, kaum zu erreichen – wenn, dann nur mit enormem Aufwand, dem keine entsprechende Reduktion von Rechtsrisiken gegenübersteht. Würde man etwa alle Personendaten automatisiert und präzise dann löschen, wenn eine weitere Aufbewahrung gesetzlich nicht vorgeschrieben und auch sonst nicht mehr erforderlich ist, müsste man alle Systeme entsprechend aufsetzen. Das ist bei nicht strukturierten Datenbestände wie etwa E-Mails kaum möglich.

Somit ist die vollständige Umsetzung des Datenschutzes aus technischen Gründen gar nicht möglich? Zumindest sind aus technischen Gründen oder aufgrund von Sachzwängen gewisse Abstriche nicht zu vermeiden. Eine robuste Compliance – im Sinne einer «minimum viable compliance» – lässt sich aber durchaus erreichen, ohne dass ein Unternehmen übermässig belastet wird.