Datenschutzrollen im KMU: Wer ist wofür zuständig?

Wenn eine betroffene Person Auskunft verlangt, ein Mitarbeitender versehentlich Daten an den falschen Empfänger sendet oder ein Neukunde einen Auftragsbearbeitungsvertrag verlangt, zeigt sich schnell, ob Datenschutz im Betrieb organisiert ist. Rollen zu definieren heisst deshalb nicht, neue Hierarchiestufen zu schaffen. Es heisst, konkrete Verantwortlichkeiten festzulegen, damit im entscheidenden Moment klar ist, wer handelt, entscheidet und dokumentiert.

Gerade in Schweizer KMU sind Aufgaben oft sinnvoll pragmatisch verteilt: Die HR-Leitung führt Personaldossiers, die IT betreibt Systeme, die Administration verwaltet Kundendaten und die Geschäftsleitung entscheidet über neue Tools. Datenschutz verläuft damit quer durch das Unternehmen. Ohne klare Rollen entstehen Lücken, Doppelspurigkeiten oder Entscheidungen, die niemand nachvollziehbar festgehalten hat.

Warum unklare Zuständigkeiten im Alltag teuer werden

Datenschutz ist keine reine Aufgabe der IT und auch kein Thema, das mit einer Datenschutzerklärung erledigt ist. Das Datenschutzgesetz (DSG) verlangt einen sorgfältigen Umgang mit Personendaten entlang der tatsächlichen Bearbeitungsprozesse. Dazu gehören beispielsweise Zugriffsrechte, die Wahl von Software, die Aufbewahrung von Unterlagen, die Beantwortung von Anfragen und die Steuerung externer Dienstleister.

Fehlt eine Rollenlogik, wird Datenschutz oft nur reaktiv bearbeitet. Ein Team beschafft eine Cloud-Anwendung, ohne die Datenflüsse zu klären. Die Personalabteilung erhält ein Auskunftsbegehren, weiss aber nicht, welche Daten aus Lohnsystem, Zeiterfassung und E-Mail-Archiv einzubeziehen sind, obwohl die Antwort nach Art. 25 DSG in der Regel innert 30 Tagen fällig ist. Oder nach einem Sicherheitsvorfall ist unklar, wer den Sachverhalt prüft, die Geschäftsleitung informiert und die nötigen Schritte dokumentiert.

Die Folgen sind selten spektakulär, aber operativ spürbar: Verzögerungen, unnötige Abstimmungsschlaufen, uneinheitliche Antworten gegenüber Kunden und ein Bearbeitungsverzeichnis, das nicht mehr zum gelebten Betrieb passt. Klare Rollen reduzieren diesen Aufwand und machen Datenschutz zu einem planbaren Teil der Unternehmensführung.

Die sechs Kernaufgaben und wer sie übernimmt

Nicht jedes KMU braucht für jede Aufgabe eine eigene Stelle. Entscheidend ist, dass die folgenden Funktionen einer Person oder einem klar bezeichneten Team zugeordnet sind. In kleinen Unternehmen kann eine Person mehrere Rollen übernehmen. Dann sollten mögliche Interessenkonflikte und die verfügbare Zeit besonders bewusst beurteilt werden.

• Geschäftsleitung: Sie trägt die Verantwortung dafür, dass Datenschutz im Unternehmen verankert ist. Dazu gehören Prioritäten, Ressourcen, Freigaben für wesentliche Massnahmen und die Entscheidung bei relevanten Risiken.
• Datenschutzkoordination: Diese Stelle hält die Fäden zusammen. Sie pflegt die Datenschutzdokumentation, koordiniert Fachbereiche, verfolgt Massnahmen und sorgt dafür, dass offene Punkte nicht im Tagesgeschäft verschwinden.
• Prozessverantwortliche: Sie kennen die konkrete Datenbearbeitung in ihrem Bereich, etwa in HR, Verkauf, Kundenservice oder Produktion. Sie melden Änderungen, beschreiben Abläufe und setzen vereinbarte Massnahmen um.
• IT- und Informationssicherheitsverantwortung: Diese Funktion steuert technische und organisatorische Schutzmassnahmen, Zugriffsberechtigungen, Backups, Lieferantenanforderungen und die Behandlung technischer Vorfälle.
• Verantwortung für externe Dienstleister: Wer einen Anbieter beauftragt, prüft gemeinsam mit Datenschutz und IT, welche Daten übermittelt werden, welche Vereinbarungen nötig sind und wie die Zusammenarbeit kontrolliert wird.
• Kontaktstelle für betroffene Personen und Vorfälle: Sie nimmt Anfragen entgegen, führt sie in den richtigen Prozess und stellt sicher, dass Fristen, Abklärungen und Antworten koordiniert bearbeitet werden.

Diese Rollen beschreiben Aufgaben, keine zwingenden Funktionsbezeichnungen. Ein Betrieb mit 20 Mitarbeitenden wird anders organisieren als ein Medtech-Unternehmen mit mehreren Standorten oder ein Sozialdienst mit besonders schützenswerten Daten. Wichtig ist die eindeutige Zuweisung, inklusive Stellvertretung bei Ferien, Krankheit oder Personalwechsel.

Die Geschäftsleitung bleibt am Steuer

Die Geschäftsleitung kann Datenschutzaufgaben delegieren, aber nicht die Verantwortung: Das Unternehmen bleibt Verantwortlicher im Sinn des DSG, und die Strafbestimmungen (Art. 60 bis 63 DSG, Bussen bis 250’000 Franken) treffen die handelnde Person, nicht die Firma. Sie sollte deshalb mindestens regelmässig einen kompakten Überblick erhalten: Welche wesentlichen Datenbearbeitungen gibt es? Wo bestehen offene Massnahmen? Welche neuen Systeme oder Projekte stehen an? Gab es Vorfälle oder wiederkehrende Fragen von Kunden und Mitarbeitenden?

Das schafft eine angemessene Führungsbasis, ohne jedes Detail auf Geschäftsleitungsebene zu behandeln. Praktisch bewährt sich ein fester Rhythmus, etwa im Rahmen eines bestehenden Management- oder IT-Sicherheitsmeetings. Datenschutz wird damit nicht zum separaten Papierthema, sondern Teil der normalen Steuerung.

Datenschutzkoordination: Übersetzen statt kontrollieren

Die Datenschutzkoordination ist in vielen KMU die zentrale Drehscheibe. Ihre Aufgabe besteht nicht darin, alle Fachentscheide selbst zu treffen. Sie übersetzt Anforderungen in umsetzbare Fragen: Welche Daten werden für einen Prozess benötigt? Wer darf darauf zugreifen? Wie lange werden sie aufbewahrt? Was passiert, wenn ein externer Anbieter eingebunden wird?

Damit diese Rolle wirksam ist, braucht sie einen klaren Auftrag und Zugang zu den relevanten Informationen. Sie sollte bei der Einführung neuer Anwendungen, bei wesentlichen Prozessänderungen und bei Verträgen mit Datenbezug frühzeitig einbezogen werden. Wird sie erst kurz vor dem Go-live informiert, bleiben oft nur noch aufwendige Korrekturen.

Je nach Grösse, Risiko und internem Know-how kann diese Aufgabe intern wahrgenommen oder durch externe Fachunterstützung ergänzt werden. Eine Pflicht, einen Datenschutzberater zu ernennen, kennt das DSG für private Unternehmen nicht (Art. 10 DSG ist freiwillig). Ob Sie die Funktion intern oder extern besetzen, ist eine Frage von Kapazität und Fachwissen. Eine externe Datenschutzfachperson kann insbesondere bei komplexeren Fragestellungen, unabhängigen Einschätzungen oder als dauerhafte Ansprechstelle entlasten. Die operative Kenntnis der eigenen Prozesse muss jedoch im Unternehmen selbst vorhanden bleiben.

Fachbereiche liefern die Realität der Datenbearbeitung

Ein Bearbeitungsverzeichnis, Schutzmassnahmen oder Löschregeln sind nur so gut wie die Informationen aus den Fachbereichen. HR weiss, welche Bewerbungs- und Personaldaten anfallen. Der Vertrieb kennt CRM-Prozesse und Kontaktlisten. Die Buchhaltung beurteilt Rechnungs- und Zahlungsdaten. Die IT weiss, wo Systeme betrieben werden und welche Berechtigungen bestehen.

Deshalb sollten Prozessverantwortliche nicht nur auf Anfrage Auskunft geben. Sie benötigen eine einfache Pflicht, Änderungen aktiv zu melden. Beispiele sind die Einführung eines neuen HR-Tools, ein zusätzlicher Newsletter-Anbieter, Kameraüberwachung, ein neues Kundenportal oder die Auslagerung von Supportleistungen.

Eine kurze Änderungsmeldung genügt oft als Startpunkt. Die Datenschutzkoordination kann danach klären, ob Dokumentation, Verträge, Datenschutzerklärungen, technische Massnahmen oder Schulungen angepasst werden müssen. Diese Vorabklärung spart Aufwand, bevor Daten bereits in einem neuen System bearbeitet werden.

IT verantwortet Schutz, nicht den ganzen Datenschutz

Die IT ist für Datenschutz unverzichtbar, aber sie kann nicht allein beurteilen, ob ein Prozess erforderlich, transparent oder angemessen organisiert ist. Ihre Rolle liegt vor allem in der sicheren technischen Umsetzung: Identitäts- und Zugriffsmanagement, sichere Konfigurationen, Protokollierung, Backup- und Wiederherstellungskonzepte sowie die Einbindung von Lieferanten.

Besonders hilfreich ist eine klare Schnittstelle zwischen IT und Datenschutzkoordination. Bei neuen Anwendungen beantwortet der Fachbereich den Zweck und die benötigten Daten, die IT prüft Architektur und Sicherheitsaspekte, und die Datenschutzkoordination führt die Ergebnisse in die Gesamtbeurteilung und Dokumentation zusammen. So wird aus einem Freigabeprozess keine Bremse, sondern ein nachvollziehbarer Entscheid.

Auch für Datensicherheitsverletzungen sollte die Aufgabenteilung vorab feststehen, denn eine Meldung an den EDÖB nach Art. 24 DSG muss so rasch als möglich erfolgen. Mitarbeitende müssen wissen, wohin sie einen Verdacht melden. IT untersucht die technische Seite und sichert Informationen. Die Datenschutzkoordination beurteilt mit den zuständigen Stellen den Datenbezug, organisiert die Dokumentation und bindet die Geschäftsleitung ein, wenn es die Situation erfordert.

Rollen schriftlich festhalten und im Alltag verankern

Ein Organigramm allein reicht nicht. Sinnvoll ist eine schlanke Rollen- und Verantwortlichkeitsmatrix. Sie hält pro Datenschutzprozess fest, wer entscheidet, wer umsetzt, wer konsultiert wird und wer informiert werden muss. Besonders nützlich ist das bei wiederkehrenden Situationen wie Tool-Beschaffungen, Betroffenenanfragen, Auftragsbearbeitungen, Löschkonzepten und Sicherheitsvorfällen.

Die Dokumentation sollte verständlich bleiben. Eine Tabelle mit wenigen Prozessen ist wertvoller als ein umfangreiches Regelwerk, das niemand nutzt. Plattformen wie DSMS+ mit Rollen und Zuständigkeiten können dabei helfen, Verantwortlichkeiten direkt mit Bearbeitungstätigkeiten, Schutzmassnahmen, Vorfällen und Aufgaben zu verbinden. Der eigentliche Nutzen entsteht aber erst, wenn Zuständige ihre Aufgaben kennen und Änderungen laufend nachführen.

Schulungen sind dafür ein praktischer Hebel. Mitarbeitende brauchen keine datenschutzrechtliche Spezialausbildung, aber sie sollten erkennen, welche Informationen sensibel sein können, wie sie Vorfälle melden und an wen sie Fragen weitergeben. Führungskräfte und Prozessverantwortliche benötigen zusätzlich konkrete Anleitungen für ihre Entscheidungs- und Meldepflichten.

Ein pragmatischer Start für KMU

Wie die Rollen in eine tragfähige Datenschutzorganisation im Betrieb eingebettet werden, zeigt ein eigener Beitrag. Für den Anfang genügt weniger. Beginnen Sie mit den Datenbearbeitungen, die für Ihren Betrieb besonders relevant sind: Personalverwaltung, Kundenbetreuung, Website und Marketing, Lieferantenmanagement sowie zentrale Geschäftssysteme. Benennen Sie für jeden Bereich eine verantwortliche Person und halten Sie fest, wer bei Änderungen eingebunden werden muss.

Prüfen Sie danach drei einfache Fragen: Wer entscheidet über neue Datenbearbeitungen? Wer aktualisiert die Dokumentation? Wer übernimmt bei Abwesenheiten? Wenn diese Fragen nicht ohne Rückfrage beantwortet werden können, besteht Handlungsbedarf.

Klare Datenschutzrollen machen aus einer abstrakten Pflicht eine funktionierende Arbeitsweise. Der beste nächste Schritt ist daher nicht ein weiteres Dokument, sondern ein kurzes Gespräch mit Geschäftsleitung, Fachbereichen und IT: Legen Sie für die wichtigsten Prozesse eine zuständige Person, eine Stellvertretung und einen verbindlichen Meldeweg fest. Damit beginnt Datenschutz dort, wo er im KMU wirken muss: im täglichen Handeln.

Häufige Fragen

Muss ein Schweizer KMU einen Datenschutzberater ernennen?

Nein. Für private Unternehmen ist die Ernennung nach Art. 10 DSG freiwillig. Zugewiesen sein müssen aber die Aufgaben: Wer führt das Verzeichnis, wer beantwortet Auskunftsbegehren, wer beurteilt Vorfälle. Unternehmen mit EU-Bezug können nach Art. 37 DSGVO zusätzlich zur Benennung verpflichtet sein.

Kann die IT-Leitung den Datenschutz allein verantworten?

Das ist selten sinnvoll. Die IT beurteilt Sicherheit, Zugriffe und Systeme, aber nicht, ob eine Bearbeitung nötig, transparent und verhältnismässig ist. Zudem kontrolliert sie sonst ihre eigenen Entscheide. Bewährt hat sich eine Koordinationsrolle ausserhalb der IT, die eng mit ihr zusammenarbeitet.

Wer trägt die Verantwortung, wenn Aufgaben delegiert sind?

Die Geschäftsleitung. Sie kann Aufgaben übertragen, muss aber auswählen, instruieren und überwachen. Die Bussen des DSG (bis 250’000 Franken) richten sich gegen die natürliche Person, die vorsätzlich gegen eine Pflicht verstösst, also je nach Fall gegen Leitungspersonen oder zuständige Mitarbeitende.

Wie hält man Datenschutzrollen im Kleinbetrieb fest?

Eine Tabelle mit fünf bis sieben Abläufen genügt: neue Tools, Auskunftsbegehren, Dienstleister, Löschung, Vorfälle. Pro Ablauf stehen darin die zuständige Person, die Stellvertretung und wer entscheidet. Die Tabelle wird jährlich und bei jedem Personalwechsel überprüft.