Anfragen betroffener Personen treffen selten planmässig ein. Sie landen im Empfang, im HR-Postfach oder direkt bei der Geschäftsleitung. Ein dokumentierter Prozess schafft dann Klarheit: Wer nimmt das Anliegen entgegen, wer prüft die Identität, welche Systeme werden durchsucht und wer gibt die Antwort frei? Gerade für KMU ist diese Klarheit entscheidend, weil Auskunfts-, Berichtigungs- oder Löschbegehren meist selten eintreffen, dann aber rasch und koordiniert bearbeitet werden müssen.
Das Schweizer Datenschutzgesetz räumt betroffenen Personen mehrere Rechte ein: Auskunft über die bearbeiteten Personendaten (Art. 25 DSG), Herausgabe oder Übertragung der Daten (Art. 28 DSG) sowie Berichtigung, Löschung oder das Untersagen einer bestimmten Bearbeitung (Art. 32 Abs. 2 DSG). Besteht zusätzlich ein Bezug zur EU, können auch Anforderungen der DSGVO relevant sein. Ein interner Ablauf verbindet beide Perspektiven mit dem Unternehmensalltag, ohne aus jeder Anfrage ein Grossprojekt zu machen.
Warum eine Vorlage mehr ist als ein Formular
Viele Unternehmen beginnen mit einer E-Mail-Vorlage für Auskunftsanfragen. Das ist ein sinnvoller Baustein, löst aber das eigentliche Problem noch nicht. Die Antwort kann nur korrekt sein, wenn klar ist, welche Personendaten wo bearbeitet werden, wer Zugriff auf die jeweiligen Systeme hat und wie sensible Informationen geschützt übermittelt werden.
Eine gute Vorlage ist deshalb ein Arbeitsablauf mit Verantwortlichkeiten, Fristenkontrolle und Nachweisführung. Sie verhindert zwei typische Fehler: Eine Anfrage wird zu lange nicht erkannt, weil sie im allgemeinen Postfach landet. Oder Mitarbeitende geben Daten heraus, ohne die anfragende Person ausreichend zu verifizieren. Beides lässt sich mit wenigen verbindlichen Schritten deutlich besser steuern.
Der Aufwand hängt von der Unternehmensgrösse und der Datenlandschaft ab. Ein Gastronomiebetrieb mit Reservationssystem, Gästekarte und Newsletter braucht andere Abklärungen als ein Produktionsbetrieb, der hauptsächlich Personal- und Lieferantendaten bearbeitet. Das Grundprinzip bleibt jedoch gleich.
Der Ablauf in sechs Schritten
Die folgenden Schritte eignen sich als Ausgangspunkt für ein internes Prozessdokument. Sie sollten an Ihre Anwendungen, Rollen und Kommunikationswege angepasst und im Team bekannt gemacht werden.
1. Anfrage zentral entgegennehmen und erfassen
Definieren Sie einen klaren Eingangskanal, etwa eine Datenschutz-E-Mail-Adresse oder ein Ticket im bestehenden Service-System. Auch Anfragen, die per Brief, Telefon, Kontaktformular oder direkt an Mitarbeitende gelangen, müssen an diese Stelle weitergeleitet werden.
Erfassen Sie mindestens Eingangsdatum, Name und Kontaktdaten der anfragenden Person, Art des Begehrens, betroffene Gesellschaft oder Abteilung, verwendeten Eingangskanal sowie die zuständige Fallführung. Vergeben Sie eine Referenznummer. So bleibt der Vorgang auch bei Ferienvertretungen nachvollziehbar.
2. Anliegen einordnen und Frist überwachen
Nicht jede Nachricht mit dem Wort «Datenschutz» ist ein formelles Begehren. Dennoch sollte die zuständige Person prüfen, ob es sich beispielsweise um ein Auskunftsbegehren nach Art. 25 DSG, eine Berichtigung, eine Löschung, das Untersagen einer bestimmten Bearbeitung oder eine Frage zur Datenherkunft handelt.
Für die Auskunft gilt nach Art. 25 Abs. 7 DSG in der Regel eine Frist von 30 Tagen. Ist sie nicht einzuhalten, muss die betroffene Person innerhalb dieser Frist informiert werden, bis wann die Auskunft erfolgt (Art. 18 DSV). Halten Sie die anwendbare Frist direkt im Vorgang fest und setzen Sie eine interne Vorfrist für Datenrecherche und Freigabe. Diese Reserve ist praktisch wichtiger als eine Erinnerung kurz vor Ablauf. Ist die Anfrage unklar oder fehlen notwendige Angaben, klären Sie dies frühzeitig und dokumentieren Sie die Kommunikation.
3. Identität angemessen prüfen
Bevor Personendaten offengelegt oder verändert werden, muss nachvollziehbar sein, dass die anfragende Person tatsächlich berechtigt ist. Wie streng die Prüfung ausfällt, richtet sich nach dem Risiko. Bei einer einfachen Korrektur einer allgemein bekannten E-Mail-Adresse kann ein anderer Nachweis genügen als bei einer umfangreichen Personaldossier-Auskunft oder bei besonders schützenswerten Daten.
Verlangen Sie nicht routinemässig mehr Informationen, als für die Verifikation nötig sind. Eine Ausweiskopie ist nicht in jeder Situation die beste Lösung, weil dadurch zusätzliche sensible Daten entstehen. Häufig sind eine Anmeldung im Kundenkonto, eine Bestätigung über eine bereits hinterlegte Kontaktadresse oder gezielte Rückfragen angemessener. Halten Sie fest, welche Prüfung durchgeführt wurde und weshalb sie ausreichend war.
4. Datenquellen gezielt abklären
Jetzt beginnt die eigentliche Recherche. Die Fallführung sollte nicht pauschal «alle Systeme» anfragen, sondern anhand der eigenen Systemübersicht nach Art. 12 DSG und der jeweiligen Geschäftsbeziehung gezielt vorgehen. Typische Quellen sind CRM, ERP, Personaldossiers, E-Mail-Archive, Support-Tickets, Newsletter-Tools, Zutritts- oder Buchungssysteme sowie Papierakten.
Geben Sie den beteiligten Stellen einen klaren Suchauftrag: Name, bekannte E-Mail-Adresse, Kundennummer, Zeitraum und Art der gesuchten Daten. Vereinbaren Sie auch, in welcher Form die Ergebnisse zurückgemeldet werden. Unstrukturierte Screenshots und lange E-Mail-Ketten erschweren die Prüfung und erhöhen das Risiko, Daten Dritter versehentlich mitzuschicken.
Bei Auftragsbearbeitern ist wichtig, die Zusammenarbeit vorab zu regeln. Art. 9 DSG verlangt ohnehin, dass die Bearbeitung durch Dritte vertraglich geregelt ist. Die zuständige Fachstelle sollte wissen, ob und wie der Dienstleister bei einer Anfrage unterstützt, welche Kontaktperson zuständig ist und wie die Rückmeldung in die Gesamtantwort fliesst.
5. Ergebnis prüfen und Antwort freigeben
Die zusammengetragenen Informationen benötigen eine Qualitätskontrolle. Prüfen Sie insbesondere, ob Daten anderer Personen enthalten sind, ob gesetzliche oder überwiegende schutzwürdige Interessen einer vollständigen Herausgabe entgegenstehen (Art. 26 DSG) und ob die Antwort verständlich formuliert ist. Bei komplexen Fällen sollte eine fachlich zuständige Stelle einbezogen werden, bevor die Antwort versendet wird. Wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt, riskiert nach Art. 60 DSG eine Busse bis 250'000 Franken, die sich gegen die verantwortliche natürliche Person richtet.
Eine brauchbare Antwort beschreibt nicht nur die gefundenen Daten. Sie erklärt in klarer Sprache, welche Daten bearbeitet werden, zu welchem Zweck, aus welchen Quellen sie stammen, an welche Kategorien von Empfängern sie weitergegeben werden und wie lange sie voraussichtlich aufbewahrt werden. Was konkret mitzuteilen ist, hängt vom einzelnen Begehren und der Datenbearbeitung ab.
Für die Übermittlung wählen Sie einen zum Inhalt passenden, geschützten Weg. Besonders bei Personal-, Gesundheits- oder Sozialdaten genügt eine ungeschützte E-Mail häufig nicht, denn Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Das Passwort sollte zudem nicht über denselben Kanal wie das Dokument versendet werden.
6. Abschluss dokumentieren und Verbesserungen ableiten
Nach dem Versand ist der Prozess nicht beendet. In das Fallprotokoll gehören das Ergebnis der Identitätsprüfung, interne Abklärungen, die freigegebene Antwort, Versanddatum, Versandkanal und allfällige Folgemassnahmen. Bewahren Sie nur die für den Nachweis erforderlichen Unterlagen auf und beachten Sie Ihre internen Lösch- und Aufbewahrungsregeln.
Wiederkehrende Schwierigkeiten sind ein wertvoller Hinweis auf Verbesserungsbedarf. Wenn die Datenrecherche regelmässig mehrere Tage dauert, fehlen möglicherweise Systemübersichten oder eindeutige Datenverantwortliche. Wenn oft unklar ist, welche Personendaten in einem Tool liegen, sollte das Verzeichnis der Bearbeitungstätigkeiten aktualisiert werden. Die Rechte betroffener Personen sind damit ein Praxistest für die Qualität der gesamten Datenschutzorganisation im Betrieb.
Rollen, die klar benannt sein sollten
Auch kleine Unternehmen brauchen nicht für jede Aufgabe eine neue Stelle. Entscheidend ist, dass Rollen zugewiesen und Stellvertretungen definiert sind. Die Fallführung koordiniert Anfrage, Fristen und Dokumentation. Die Fachabteilungen liefern Informationen aus ihren Anwendungen. Die IT unterstützt bei technischen Abklärungen und sicherer Bereitstellung. Eine Datenschutzfachperson oder die Geschäftsleitung beurteilt komplexe Fälle und gibt Antworten mit erhöhtem Risiko frei.
Diese Rollen können je nach Organisation zusammenfallen. In einem kleinen Betrieb übernimmt etwa die Administration die Koordination, während eine externe Datenschutzbegleitung bei Fragen zur Einordnung hinzugezogen wird. Bei grösseren Organisationen kann ein Ticketsystem mit festen Freigabestufen sinnvoll sein. Wichtig ist, dass Mitarbeitende wissen: Eine Anfrage darf nicht unbeantwortet im persönlichen Postfach liegen bleiben.
Was im Prozessdokument konkret stehen sollte
Ein Prozessdokument bleibt nur dann nützlich, wenn es schnell anwendbar ist. Ergänzen Sie deshalb neben dem Ablauf eine kurze Übersicht mit zentraler Kontaktadresse, Stellvertretung, internen Reaktionsfristen, Datenquellen, zuständigen Systemverantwortlichen, zugelassenen Versandwegen und Ablageort für das Fallprotokoll.
Zusätzlich lohnt sich eine kleine Sammlung von Textbausteinen: Eingangsbestätigung, Rückfrage zur Präzisierung, Bitte um Identitätsnachweis, Antwort auf ein Auskunftsbegehren und Abschlussmitteilung nach einer Berichtigung oder Löschung. Textbausteine sparen Zeit, dürfen aber nicht unbesehen verschickt werden. Jede Antwort muss zum konkreten Anliegen und zu den tatsächlich ermittelten Daten passen.
Eine Plattform wie DSMS+ kann solche Abläufe mit Verzeichnis, Aufgaben, Fristen und Nachweisen an einem Ort verbinden. Der Nutzen entsteht jedoch erst, wenn Verantwortlichkeiten, Systeminformationen und Schulung der Mitarbeitenden zusammenpassen.
Der praxistaugliche erste Schritt
Nehmen Sie eine typische Anfrage aus Ihrer Organisation als Testfall, zum Beispiel eine frühere Kundin, die wissen möchte, welche Daten noch vorhanden sind. Spielen Sie den Ablauf einmal durch: Findet die Anfrage den richtigen Eingang? Ist die Identitätsprüfung definiert? Wissen die Fachstellen, wo sie suchen müssen? Lässt sich eine Antwort nachvollziehbar freigeben und sicher versenden?
Wo dieser Test stockt, liegt meist die wirksamste nächste Massnahme. Ein kurzer, gelebter Ablauf schafft mehr Orientierung als ein umfangreiches Dokument, das im Laufwerk verschwindet.
Häufige Fragen
Welche Rechte können betroffene Personen nach dem DSG geltend machen?
Das DSG gibt betroffenen Personen das Recht auf Auskunft über die bearbeiteten Personendaten (Art. 25), auf Herausgabe oder Übertragung ihrer Daten (Art. 28) sowie auf Berichtigung, Löschung oder das Untersagen einer bestimmten Bearbeitung (Art. 32 Abs. 2). Ausserdem besteht ein Recht auf Information bei automatisierten Einzelentscheidungen (Art. 21).
Welche Frist gilt für die Antwort?
Für die Auskunft gilt nach Art. 25 Abs. 7 DSG in der Regel eine Frist von 30 Tagen. Reicht die Zeit nicht, muss die betroffene Person innerhalb dieser Frist erfahren, bis wann die Auskunft erfolgt (Art. 18 DSV). Bei DSGVO-Bezug gilt eine Monatsfrist, die in komplexen Fällen um zwei Monate verlängert werden kann. Eine interne Vorfrist für Recherche und Freigabe verhindert Fristverletzungen.
Darf für die Identitätsprüfung eine Ausweiskopie verlangt werden?
Nur wenn es das Risiko rechtfertigt und keine mildere Prüfung genügt. Eine Ausweiskopie erzeugt zusätzliche sensible Daten, deshalb sind Anmeldung im Kundenkonto, Bestätigung über eine hinterlegte Kontaktadresse oder gezielte Rückfragen oft angemessener. Entscheidend ist, dass die durchgeführte Prüfung dokumentiert und für den Einzelfall begründet ist.
Wer im KMU sollte für den Prozess verantwortlich sein?
Eine benannte Fallführung mit definierter Stellvertretung, meist in der Administration oder im HR. Sie koordiniert Eingang, Fristen, Recherche und Dokumentation, während die Fachabteilungen die Daten aus ihren Systemen liefern. Komplexe Fälle und Antworten mit erhöhtem Risiko gibt die Geschäftsleitung oder eine Datenschutzfachperson frei.