Ein neues HR-Tool, eine Kundendatenbank in der Cloud oder ein externer Lohnlauf wirken zunächst wie operative Themen. Für ein Schweizer KMU lösen sie aber zugleich Datenschutzaufgaben aus: Welche Personendaten fliessen wohin? Wer darf darauf zugreifen? Ist der Dienstleister sauber eingebunden? Eine Datenschutz-Checkliste macht diese Fragen sichtbar, bevor sie im Tagesgeschäft untergehen.
Seit dem Inkrafttreten des revidierten Schweizer Datenschutzgesetzes am 1. September 2023 genügt es nicht, einzelne Vorlagen abzulegen. Datenschutz muss an den Stellen funktionieren, an denen Daten erhoben, verwendet, weitergegeben, gespeichert und gelöscht werden. Die folgenden acht Punkte helfen dabei, Prioritäten zu setzen und aus Einzelmassnahmen ein praxistaugliches System zu machen. Wer vorher wissen will, wo das eigene Unternehmen steht, kann mit dem kostenlosen Privacy Check in wenigen Minuten eine erste Standortbestimmung machen.
Mit dem Datenfluss beginnen, nicht mit der Datenschutzerklärung
Der häufigste Fehler liegt am Anfang: Unternehmen starten mit einer Datenschutzerklärung, ohne ihre tatsächlichen Datenbearbeitungen zu kennen. Die Erklärung ist wichtig, bildet aber nur ab, was intern bereits geregelt sein sollte.
Beginnen Sie deshalb mit einer Bestandsaufnahme. Erfassen Sie nicht nur die offensichtlichen Systeme wie CRM, ERP und Personalakten. Denken Sie auch an Kontaktformulare, Newsletter, Bewerbungen, Besuchermanagement, Support-Tickets, Zutrittskontrollen, Videoüberwachung, mobile Geräte und Excel-Listen in Fachabteilungen.
Für jede Bearbeitung sollten Verantwortliche klären: Welche Personendaten werden bearbeitet? Zu welchem Zweck? Woher stammen sie? Wer erhält Zugriff? Wie lange werden sie benötigt? In welchen Systemen oder Ländern befinden sich die Daten? Diese Informationen bilden die Grundlage für das Bearbeitungsverzeichnis und zeigen oft bereits unnötige Datenbestände oder unklare Zuständigkeiten.
Gerade bei kleineren Unternehmen muss die Erfassung nicht kompliziert sein. Entscheidend ist, dass sie nachvollziehbar, aktuell und einer verantwortlichen Person zugeordnet ist. Eine Tabelle kann für den Einstieg genügen. Mit wachsender Anzahl Prozesse, Dienstleister und Standorte ist eine zentrale Datenschutzmanagement-Lösung meist effizienter.
Die zentrale Checkliste für die Umsetzung nach DSG
1. Verantwortlichkeiten verbindlich festlegen
Datenschutz ist eine Führungsaufgabe, auch wenn die operative Koordination delegiert wird. Das zeigt sich auch bei den Sanktionen: Bussen nach Art. 60 und 61 DSG von bis zu 250'000 Franken richten sich gegen die verantwortlichen natürlichen Personen, in der Regel also gegen Geschäftsleitung oder Entscheidungsträger. Bestimmen Sie deshalb, wer Entscheidungen zu Datenschutzthemen trifft, wer Dokumente pflegt und wer bei Anfragen oder Sicherheitsvorfällen handelt.
In vielen KMU ist eine Person aus Operations, Administration, IT oder Compliance erste Anlaufstelle. Das kann gut funktionieren, sofern Rolle, Zeitbudget und Eskalationsweg klar sind. Bei komplexen Bearbeitungen, sensiblen Daten oder starkem EU-Bezug kann eine externe fachliche Begleitung sinnvoll sein. Wichtig ist nicht der Titel, sondern dass Zuständigkeiten im Alltag greifen.
2. Bearbeitungsverzeichnis vollständig und nutzbar führen
Das Bearbeitungsverzeichnis ist kein Dokument für die Schublade. Es soll nachvollziehbar machen, wie Ihr Unternehmen Personendaten bearbeitet. Art. 12 DSG schreibt die Inhalte vor: Identität des Verantwortlichen, Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Aufbewahrungsdauer, Sicherheitsmassnahmen und allfällige Bekanntgaben ins Ausland. Unternehmen mit weniger als 250 Mitarbeitenden sind nach Art. 24 DSV von der Pflicht befreit, sofern sie keine besonders schützenswerten Daten in grossem Umfang bearbeiten und kein Profiling mit hohem Risiko betreiben. In der Praxis lohnt sich das Verzeichnis trotzdem, weil es die Grundlage für fast alle anderen Punkte dieser Liste ist.
Besonders hilfreich ist die Verknüpfung mit realen Prozessen: «Lohnverarbeitung», «Bewerbermanagement» oder «Kundenservice» ist aussagekräftiger als allgemeine Sammelbegriffe. Prüfen Sie das Verzeichnis mindestens bei wesentlichen Änderungen - etwa bei einem neuen SaaS-Tool, einer Prozessauslagerung oder der Einführung eines Kundenportals.
3. Datenschutzerklärung und Hinweistexte abgleichen
Betroffene Personen sollen verständlich erkennen können, welche Daten Ihr Unternehmen zu welchen Zwecken bearbeitet. Das ist die Informationspflicht nach Art. 19 DSG: Mindestens Identität und Kontakt des Verantwortlichen, Bearbeitungszweck, allfällige Empfänger und bei Bekanntgaben ins Ausland der Staat und die Garantien müssen genannt werden. Wie die Datenschutzerklärung nach DSG konkret aufgebaut sein sollte, zeigt ein eigener Beitrag. Kontrollieren Sie daher die Datenschutzerklärung auf der Website ebenso wie Hinweise in Bewerbungsformularen, bei Events, in Kundenportalen oder bei Videoüberwachung.
Der Text muss zur Praxis passen. Wer beispielsweise Newsletter-Anmeldungen, Analysewerkzeuge oder Bewerbungsformulare nutzt, sollte die dazugehörigen Bearbeitungen nicht nur technisch, sondern auch in den Informationen für Betroffene berücksichtigen. Copy-and-paste-Texte aus anderen Branchen führen häufig zu Lücken oder Aussagen, die im eigenen Unternehmen gar nicht zutreffen.
4. Auftragsbearbeiter und Cloud-Dienste prüfen
Viele Datenschutzrisiken entstehen an Schnittstellen zu Dienstleistern. Lohnbüros, Hosting-Anbieter, CRM-Software, E-Mail-Marketing, IT-Support oder externe Callcenter können Personendaten im Auftrag bearbeiten. Prüfen Sie, ob die Zusammenarbeit vertraglich geregelt ist und ob der Dienstleister angemessene technische und organisatorische Massnahmen vorsieht.
Besondere Aufmerksamkeit brauchen Datenübermittlungen ins Ausland. Nicht jeder Cloud-Dienst mit internationalem Konzernhintergrund ist gleich zu beurteilen. Relevant sind unter anderem die konkret genutzte Leistung, Speicherorte, Zugriffsmöglichkeiten und vertraglichen Schutzmechanismen. Dokumentieren Sie das Ergebnis, statt sich allein auf Marketingaussagen eines Anbieters zu verlassen. Praktisch bewährt sich ein zentrales Dienstleisterregister mit Ansprechperson, System, Zweck, Vertragsstatus, Datenstandort und nächstem Prüftermin. So geht der Vertragscheck bei einer Verlängerung oder einem Toolwechsel nicht vergessen.
5. Zugriffe und technische Schutzmassnahmen überprüfen
Technische und organisatorische Massnahmen, kurz TOMs, beschreiben, wie Daten geschützt werden. Art. 8 DSG verlangt sie ausdrücklich, Art. 1 bis 6 der Datenschutzverordnung (DSV) nennen die Schutzziele. Welche TOM-Beispiele für KMU sich bewährt haben, zeigt ein eigener Beitrag. Gemeint sind keine abstrakten IT-Versprechen, sondern konkrete Vorkehrungen: individuelle Benutzerkonten, starke Passwörter oder Mehrfaktor-Authentifizierung, Berechtigungskonzepte, Verschlüsselung, Backups, Protokollierung und ein geregelter Umgang mit mobilen Geräten.
Prüfen Sie insbesondere, ob Mitarbeitende nur Zugriff auf Daten erhalten, die sie tatsächlich benötigen. Ein gemeinsames Login für ein ganzes Team ist bequem, erschwert aber Nachvollziehbarkeit und Austrittsprozesse. Ebenso wichtig: Beim Stellenwechsel oder Austritt müssen Zugriffe zeitnah angepasst oder entfernt werden.
Nicht jede Massnahme ist für jedes KMU gleich aufwendig. Ein Treuhandbüro mit Lohn- und Steuerdaten hat andere Systeme und Risiken als ein Handwerksbetrieb mit einer schlanken Kundendatei. Das Schutzniveau sollte sich an Datenarten, Umfang, möglichen Folgen eines Verlusts und der konkreten Gefährdungslage orientieren.
6. Prozesse für Betroffenenrechte vorbereiten
Auskunftsbegehren, Berichtigungswünsche oder Löschanfragen kommen oft unerwartet. Für die Auskunft nach Art. 25 DSG gilt eine Frist von 30 Tagen, und sie ist in der Regel kostenlos. Dann beginnt die Suche in E-Mail-Postfächern, Fachapplikationen und Papierarchiven. Ein definierter Ablauf spart Zeit und reduziert Fehler.
Legen Sie fest, über welchen Kanal Anfragen eingehen, wer die Identität der anfragenden Person prüft, welche Stellen intern Informationen liefern und wer die Antwort freigibt. Berücksichtigen Sie dabei auch gesetzliche oder vertragliche Aufbewahrungspflichten. Löschen ist nicht in jedem Fall sofort möglich, aber der Entscheid sollte nachvollziehbar begründet und dokumentiert sein.
7. Datenschutzverletzungen handhabbar machen
Ein verlorenes Notebook, eine falsch adressierte E-Mail oder ein kompromittiertes Benutzerkonto können eine Datenschutzverletzung darstellen. Entscheidend ist, dass Mitarbeitende solche Ereignisse rasch erkennen und ohne Umwege melden können.
Definieren Sie einen einfachen Meldeweg und einen Ablauf für die erste Einschätzung: Was ist passiert? Welche Daten und Personen sind betroffen? Wurde der Zugriff gestoppt? Welche Systeme müssen gesichert oder untersucht werden? Je nach Risiko können weitere Schritte erforderlich sein: Führt die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss sie nach Art. 24 DSG so rasch als möglich über das Meldeportal des EDÖB gemeldet werden. Ohne vorbereiteten Prozess gehen wertvolle Informationen verloren, weil Teams zuerst Zuständigkeiten klären müssen.
8. Mitarbeitende konkret schulen
Die beste Dokumentation hilft wenig, wenn ein Phishing-Mail geöffnet, ein Empfängerfeld falsch ausgefüllt oder eine Bewerbungsmappe offen liegen gelassen wird. Schulungen sollten deshalb an typische Situationen der jeweiligen Abteilung anknüpfen.
HR braucht andere Beispiele als Verkauf oder IT. Kurze, regelmässige Sensibilisierungen sind im Alltag häufig wirksamer als eine einmalige lange Präsentation. Halten Sie Teilnahme und Inhalte fest und ergänzen Sie Schulungen bei neuen Tools, neuen Prozessen oder auffälligen Vorfällen.
Wann eine Datenschutz-Folgenabschätzung prüfen?
Bei Bearbeitungen mit potenziell hohem Risiko für die Persönlichkeit oder Grundrechte betroffener Personen verlangt Art. 22 DSG eine Datenschutz-Folgenabschätzung, kurz DSFA. Wann eine DSFA konkret nötig wird, ist in einem eigenen Beitrag beschrieben. Das kann etwa bei besonders sensiblen Daten, umfassender Überwachung, Profilbildung oder grossen Datenmengen relevant werden.
Die DSFA ist kein Standardformular, das jede neue Software begleitet. Sie dient dazu, Risiken strukturiert zu bewerten und geeignete Schutzmassnahmen festzulegen. Wer früh prüft, ob eine DSFA nötig ist, kann Anforderungen noch in die Beschaffung und Projektplanung einbauen - statt sie nach dem Go-live mühsam nachzurüsten.
Aus der Checkliste einen wiederkehrenden Prozess machen
Eine einmalige Prüfung schafft Transparenz, aber Datenschutz verändert sich mit dem Unternehmen. Neue Mitarbeitende, Systemupdates, Lieferantenwechsel und neue Geschäftsideen verändern Datenflüsse laufend. Planen Sie deshalb einen festen Überprüfungsrhythmus und einen Datenschutz-Check bei wesentlichen Veränderungen ein. Vier Fragen gehören auf jede periodische Kontrolle:
- Stimmen Bearbeitungsverzeichnis, Datenschutzerklärung und die tatsächlich eingesetzten Systeme überein?
- Sind Zugriffsrechte noch aktuell, insbesondere nach Rollenwechseln und Austritten?
- Liegen für alle relevanten Dienstleister aktuelle Vereinbarungen vor?
- Wurden Mitarbeitende instruiert und Vorfälle oder Anfragen nachvollziehbar dokumentiert?
Praktisch bewährt sich eine einfache Steuerung: offene Punkte priorisieren, Verantwortliche und Termine festlegen, Nachweise zentral ablegen und die Umsetzung regelmässig mit Geschäftsleitung, IT und Fachbereichen besprechen. Plattformen wie DSMS+ können dabei helfen, Bearbeitungsverzeichnis, TOMs, Auftragsbearbeitung, Betroffenenanfragen und Prüfaufgaben an einem Ort zu koordinieren.
Datenschutz wird überschaubar, wenn er nicht als juristisches Sonderprojekt behandelt wird, sondern als Teil guter Unternehmensprozesse. Beginnen Sie mit dem Datenfluss, klären Sie eine Aufgabe nach der anderen und sorgen Sie dafür, dass jede Massnahme auch sechs Monate später noch im Arbeitsalltag funktioniert.
Häufige Fragen
Welche Datenschutz-Pflichten gelten für ein Schweizer KMU zwingend?
Unabhängig von der Grösse gelten die Bearbeitungsgrundsätze (Art. 6 DSG), die Datensicherheit (Art. 8 DSG), die Informationspflicht per Datenschutzerklärung (Art. 19 DSG), das Auskunftsrecht (Art. 25 DSG) und die Meldung von Datenschutzverletzungen mit hohem Risiko an den EDÖB (Art. 24 DSG). Auftragsbearbeiter müssen vertraglich oder gesetzlich eingebunden sein (Art. 9 DSG).
Braucht ein KMU unter 250 Mitarbeitenden ein Bearbeitungsverzeichnis?
Formell nicht, solange es keine besonders schützenswerten Personendaten in grossem Umfang bearbeitet und kein Profiling mit hohem Risiko betreibt (Art. 24 DSV). Praktisch ist das Verzeichnis trotzdem die Grundlage für Datenschutzerklärung, Auskunftsbegehren und Dienstleisterprüfung. Die meisten KMU führen es deshalb freiwillig.
Wie oft sollte die Checkliste durchgegangen werden?
Einmal jährlich als fester Termin, zusätzlich bei jeder wesentlichen Änderung: neues Tool, neuer Dienstleister, neuer Geschäftsprozess, Umstrukturierung. Bei stabilen Betrieben genügt der Jahresrhythmus, bei datenintensiven Branchen wie Gesundheit oder Treuhand empfiehlt sich ein halbjährlicher Check.
Was passiert, wenn ein Punkt der Checkliste nicht erfüllt ist?
Nicht jede Lücke hat dieselbe Dringlichkeit. Priorität haben Bearbeitungen mit sensiblen Daten, vielen Betroffenen oder externen Zugriffen. Halten Sie offene Punkte mit Verantwortlicher Person und Termin fest. Vorsätzliche Verstösse gegen Informations-, Auskunfts- oder Sicherheitspflichten können mit Bussen bis 250'000 Franken geahndet werden (Art. 60 und 61 DSG).