nDSG für KMU: Die Checkliste für den Alltag

Für wen das Gesetz gilt

Das revidierte Datenschutzgesetz (DSG, oft nDSG genannt) und die Datenschutzverordnung (DSV) gelten seit dem 1. September 2023. Sie betreffen nicht nur Konzerne, sondern jedes Unternehmen, das Personendaten bearbeitet, also auch die Schreinerei mit einer Kundenkartei, das Treuhandbüro mit Lohnabrechnungen und das Einzelunternehmen mit einem Kontaktformular auf der Website.

Zwei Punkte sind neu oder werden oft übersehen. Erstens schützt das Gesetz nur noch Daten natürlicher Personen (Art. 5 DSG). Daten von Firmen als solche fallen nicht mehr darunter, wohl aber die Daten der Ansprechpersonen in diesen Firmen. Zweitens gilt das Gesetz auch für Sachverhalte, die sich in der Schweiz auswirken, selbst wenn sie im Ausland veranlasst werden (Art. 3 DSG). Das erläutert der EDÖB in seinem Leitfaden zum neuen Datenschutzgesetz.

Bearbeiten heisst dabei fast alles: erheben, speichern, verwenden, weitergeben, löschen. Wer eine E-Mail mit einer Offertanfrage beantwortet, bearbeitet bereits Personendaten.

Datenschutzerklärung und Informationspflicht

Wer Personendaten beschafft, muss die betroffenen Personen informieren (Art. 19 DSG). Mindestens anzugeben sind:

• die Identität und die Kontaktdaten des Unternehmens,
• der Zweck der Bearbeitung,
• die Empfänger oder Kategorien von Empfängern, an die Daten gehen,
• bei einer Bekanntgabe ins Ausland der Staat und gegebenenfalls die Garantien, auf die sich die Übermittlung stützt.

In der Praxis geschieht das über eine Datenschutzerklärung. Der EDÖB nennt dafür drei Anforderungen: Sie muss zur tatsächlichen Praxis passen, von jeder Seite der Website aus erreichbar sein und in allen Sprachen vorliegen, in denen das Angebot erscheint. Eine kopierte Vorlage, die Dienste nennt, die Sie gar nicht nutzen, oder solche weglässt, die Sie nutzen, erfüllt das nicht. Gleichen Sie die Erklärung deshalb mit allen eingebundenen Diensten ab: Analysewerkzeug, Kontaktformular, Newsletter-Versand, Karten, Schriften, Chatbot.

Die Informationspflicht gilt nicht nur online. Auch wer Daten über Offerten, Verträge oder Anmeldeformulare erhebt, muss informieren, etwa mit einem Verweis auf die Datenschutzerklärung.

Bearbeitungsverzeichnis: Muss ich eines führen?

Grundsätzlich müssen Verantwortliche ein Verzeichnis ihrer Bearbeitungstätigkeiten führen (Art. 12 DSG). Es gibt einen Überblick, welche Bearbeitungen im Unternehmen stattfinden.

Für viele KMU gibt es eine Ausnahme: Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, wenn ihre Bearbeitung ein geringes Risiko für die Persönlichkeit der Betroffenen darstellt (Art. 24 DSV). Die Ausnahme gilt nicht, wenn in grossem Umfang besonders schützenswerte Personendaten bearbeitet werden, etwa Gesundheitsdaten, oder wenn ein Profiling mit hohem Risiko stattfindet. Eine Arztpraxis oder eine Spitex-Organisation fällt deshalb unter Umständen nicht unter die Ausnahme, auch wenn sie klein ist.

Auch wer befreit ist, profitiert von einer einfachen Übersicht. Sie ist die Grundlage für eine korrekte Datenschutzerklärung, für Auskunftsbegehren und für die Reaktion auf eine Datenpanne. Eine Tabelle mit den wichtigsten Abläufen genügt oft schon.

Dienstleister und Auslandtransfer

Kaum ein KMU bearbeitet alle Daten selbst. Hosting, E-Mail, Buchhaltungssoftware, Newsletter-Versand oder ein Chatbot laufen bei Dienstleistern. Das Gesetz nennt sie Auftragsbearbeiter (Art. 9 DSG). Für sie gilt:

• Die Bearbeitung muss vertraglich oder gesetzlich geregelt sein.
• Das Unternehmen muss sich vergewissern, dass der Dienstleister die Datensicherheit gewährleistet.
• Weitere Unterauftragnehmer darf der Dienstleister nur mit vorgängiger Genehmigung beiziehen.

Wer vorsätzlich Daten an einen Auftragsbearbeiter gibt, ohne diese Voraussetzungen einzuhalten, macht sich strafbar (Art. 61 lit. b DSG).

Liegen die Server im Ausland, kommen Art. 16 und 17 DSG dazu. Daten dürfen in Staaten bekannt gegeben werden, die einen angemessenen Schutz bieten, oder wenn geeignete Garantien bestehen, etwa vertragliche Klauseln. Für die USA hat der Bundesrat entschieden, dass seit dem 15. September 2024 ein angemessener Schutz besteht, allerdings nur für Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind. Prüfen Sie deshalb beim konkreten Anbieter, ob er zertifiziert ist, und halten Sie fest, wann Sie das geprüft haben.

Datensicherheit und Datenpannen

Das Gesetz verlangt angemessene technische und organisatorische Massnahmen zum Schutz der Daten. Typische Massnahmen in einem KMU sind etwa: Zugriffe auf das Nötige beschränken, starke Passwörter und Zwei-Faktor-Anmeldung nutzen, Geräte verschlüsseln, Datensicherungen machen und Mitarbeitende schulen.

Geht trotzdem etwas schief, etwa ein gestohlener Laptop, ein gehacktes Postfach oder eine E-Mail an den falschen Verteiler, greift Art. 24 DSG. Führt die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss sie dem EDÖB so rasch als möglich gemeldet werden, über sein Meldeportal. Eine feste Frist in Stunden nennt das Gesetz nicht. Der EDÖB hat einen Leitfaden zur Meldung veröffentlicht, der auch erklärt, wann die Betroffenen selbst informiert werden müssen.

Hilfreich ist ein kurzer Notfallablauf, der vorher festgelegt wird: Wer stellt den Vorfall fest und an wen meldet er ihn? Wer beurteilt das Risiko? Wer meldet dem EDÖB? Wer informiert Kundinnen und Kunden?

Auskunftsrecht

Jede Person kann von einem Unternehmen Auskunft verlangen, ob und welche Daten über sie bearbeitet werden (Art. 25 DSG). Die Auskunft ist grundsätzlich kostenlos und in der Regel innert 30 Tagen zu erteilen. Wer weiss, wo welche Daten liegen, kann ein solches Begehren ohne grossen Aufwand beantworten. Legen Sie deshalb fest, wer Auskunftsbegehren entgegennimmt, wie die Identität geprüft wird und wo die Antwort dokumentiert wird.

Bussen und persönliche Verantwortung

Eine Besonderheit des Schweizer Rechts: Gebüsst wird nicht das Unternehmen, sondern die verantwortliche natürliche Person. Die Bussen betragen bis CHF 250'000. Strafbar sind nur vorsätzliche Verstösse gegen bestimmte Pflichten (Art. 60 und 61 DSG), etwa bei der Auftragsbearbeitung (Art. 61 lit. b DSG). Die Verstösse werden nur auf Antrag verfolgt, und zwar durch die Kantone (Art. 64 und 65 DSG). Der EDÖB selbst büsst nicht, das betont er auf seiner Seite zu den Strafbestimmungen.

Für Geschäftsführende von KMU ist das ein Grund, Datenschutz nicht nur zu delegieren, sondern zu verstehen, welche Pflichten das eigene Unternehmen hat.

Datenschutzberater

Private Unternehmen können eine Datenschutzberaterin oder einen Datenschutzberater ernennen, müssen aber nicht (Art. 10 DSG). Wer eine solche Person ernennt, hat eine Ansprechperson für Mitarbeitende und Betroffene. Unabhängig davon empfiehlt es sich, intern eine verantwortliche Person zu bestimmen, die den Überblick behält.

Checkliste: 18 Punkte für Ihr KMU

Gehen Sie die Liste der Reihe nach durch. Was erledigt ist, haken Sie ab; was offen ist, bekommt eine verantwortliche Person und ein Datum.

1. Geltung prüfen: Welche Personendaten natürlicher Personen bearbeitet Ihr Unternehmen?
2. Verantwortliche Person: Wer kümmert sich intern um den Datenschutz?
3. Bestandsaufnahme: Welche Daten, wo gespeichert, wofür verwendet?
4. Nur nötige Daten: Werden Daten erhoben, die Sie nicht brauchen?
5. Löschfristen: Wann werden welche Daten gelöscht?
6. Korrektheit: Wie werden falsche oder veraltete Daten berichtigt?
7. Datenschutzerklärung: Vollständig, aktuell, von jeder Seite erreichbar, in allen Sprachen des Angebots.
8. Abgleich mit Diensten: Stimmt die Erklärung mit allen eingebundenen Diensten überein?
9. Information auch offline: Hinweise in Offerten, Verträgen und Formularen.
10. Ausnahme prüfen: Gilt die Befreiung vom Bearbeitungsverzeichnis nach Art. 24 DSV?
11. Verzeichnis führen: Pflicht oder freiwillig, als Grundlage für alles Weitere sinnvoll.
12. Dienstleister auflisten: Wer bearbeitet in Ihrem Auftrag Daten?
13. Auftragsbearbeitungsverträge: Für jeden Dienstleister vorhanden und geprüft.
14. Datenfluss ins Ausland: Welche Daten gehen in welche Staaten, auf welcher Grundlage?
15. Technische und organisatorische Massnahmen: Zugriffe, Passwörter, Verschlüsselung, Sicherung, Schulung.
16. Notfallablauf Datenpanne: Wer macht was, und wann wird dem EDÖB gemeldet?
17. Auskunftsprozess: Begehren innert 30 Tagen beantworten können.
18. Sonderfälle: Braucht es eine Datenschutz-Folgenabschätzung (Art. 22 DSG) oder gibt es automatisierte Einzelentscheidungen (Art. 21 DSG)?

Und Meyssens?

Meyssens ist ein Einzelunternehmen und hat noch keine Kunden. Wir bieten keine Datenschutzberatung an und stellen keine Dokumentationsvorlagen bereit. Wenn Sie eines unserer Produkte einsetzen, gehört es wie jedes andere Werkzeug in Ihre Übersicht der Dienstleister und in Ihre Datenschutzerklärung. Wie Sie das bei einem Chatbot angehen, beschreibt der Ratgeber Website-Chatbot: was er darf und was nicht.

Die Gesetzesartikel in diesem Text stützen sich auf den Schlussabstimmungstext des Parlaments von 2020 und auf Kommentare, nicht auf die aktuelle Fassung in der Systematischen Rechtssammlung. Prüfen Sie die Artikel im Einzelfall am geltenden Wortlaut.

Quellen und Hinweis

• EDÖB, Geltendes DSG ist auf KI anwendbar (9.11.2023)
• PwC, Inkrafttreten neues Datenschutzgesetz
• EDÖB, Das neue Datenschutzgesetz aus Sicht des EDÖB
• EDÖB, Datenschutzerklärungen im Internet
• Onlinekommentar, Art. 12 DSG
• Bundesrat, Medienmitteilung zum Swiss-US Data Privacy Framework
• datenschutz.ch, Praxishilfe zum Angemessenheitsbeschluss USA
• EDÖB, Leitfaden zur Meldung von Datensicherheitsverletzungen nach Art. 24 DSG
• Onlinekommentar, Art. 25 DSG
• EDÖB, Strafbestimmungen
• Parlament, Schlussabstimmungstext DSG (2020)