Datenschutz scheitert im KMU selten an fehlendem guten Willen. Häufige Datenschutzfehler im Mittelstand entstehen vielmehr dort, wo der operative Alltag schneller ist als die Dokumentation: Eine neue HR-Software wird eingeführt, ein Marketingtool aktiviert oder ein externer IT-Partner erhält Zugriff. Solche Schritte sind nachvollziehbar - werden sie nicht strukturiert begleitet, entstehen jedoch Lücken bei Transparenz, Zuständigkeiten und Kontrolle.
Für Schweizer Unternehmen gilt das aktuelle Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist. Bei Angeboten, Kundschaft oder Mitarbeitenden in der EU können zusätzlich Anforderungen der DSGVO relevant werden. Entscheidend ist nicht, möglichst viele Dokumente abzulegen. Entscheidend ist, dass Datenschutz in den tatsächlichen Abläufen des Unternehmens funktioniert.
Warum Datenschutzfehler im Mittelstand so oft auftreten
KMU bearbeiten personenbezogene Daten an vielen Stellen: im Bewerbungsprozess, in der Lohnbuchhaltung, im CRM, bei Supportanfragen, Zutrittskontrollen oder beim Versand von Newslettern. Verantwortlichkeiten verteilen sich dabei auf Geschäftsleitung, HR, IT, Administration und externe Dienstleister. Ohne gemeinsame Übersicht bleibt oft unklar, welche Daten wohin fliessen, wer Entscheidungen trifft und welche Schutzmassnahmen bereits bestehen.
Besonders tückisch sind gewachsene Prozesse. Was vor Jahren als pragmatische Excel-Liste, geteiltes Postfach oder Cloud-Ordner begonnen hat, ist heute möglicherweise ein zentraler Bestandteil der Bearbeitung. Gerade deshalb lohnt es sich, Datenschutz nicht nur bei neuen Projekten, sondern auch bei bestehenden Abläufen regelmässig zu prüfen.
Häufige Datenschutzfehler im Mittelstand: Die zentralen Lücken
1. Das Bearbeitungsverzeichnis bildet die Realität nicht ab
Ein Bearbeitungsverzeichnis schafft Transparenz über die Bearbeitung personenbezogener Daten. In der Praxis fehlt es jedoch ganz, wird einmalig erstellt oder deckt nur einzelne Bereiche ab. Dann stehen etwa HR und Kundendaten darin, nicht aber Videoüberwachung, Bewerbungsmanagement, Lieferantenkontakte, Website-Formulare oder die eingesetzte Supportsoftware.
Ein unvollständiges Verzeichnis ist nicht einfach ein Dokumentationsproblem. Es erschwert jede weitere Aufgabe: Datenschutzerklärungen lassen sich nicht sauber abgleichen, Auftragsbearbeitungen werden übersehen und Risiken neuer Tools bleiben unentdeckt. Sinnvoll ist eine Erhebung entlang der realen Arbeitsprozesse. Gespräche mit Fachverantwortlichen liefern dafür meist mehr als das blosse Durchsehen vorhandener Vorlagen.
Das Verzeichnis sollte anschliessend einen festen Pflegeprozess erhalten. Wer ein neues Tool beschafft, einen Dienstleister einbindet oder eine neue Datenkategorie bearbeitet, muss wissen, dass dies geprüft und nachgeführt wird.
2. Verantwortlichkeiten sind nur implizit geregelt
«Die IT macht Datenschutz» ist in vielen Unternehmen eine verständliche, aber zu kurz greifende Annahme. IT verantwortet wichtige technische Schutzmassnahmen. Die Fachbereiche entscheiden jedoch oft über Zweck, Inhalt und Dauer der Datenbearbeitung. HR kennt die Personaldossiers, Marketing die Kampagnenprozesse und die Geschäftsleitung die strategischen Entscheidungen.
Fehlen klar definierte Zuständigkeiten, bleiben Aufgaben liegen. Niemand aktualisiert Datenschutzhinweise, Anfragen betroffener Personen werden zu spät an die richtige Stelle weitergeleitet oder Verträge mit Dienstleistern werden ohne Datenschutzprüfung abgeschlossen. Eine schlanke Rollenverteilung hilft: Es braucht eine koordinierende Stelle, klar benannte Prozessverantwortliche und einen Weg für Eskalationen bei Unsicherheiten oder Vorfällen.
Für kleine Teams muss daraus keine zusätzliche Hierarchiestufe entstehen. Wichtig ist, dass Mitarbeitende wissen, wen sie bei einer Anfrage, einem neuen Tool oder einem ungewöhnlichen Datenzugriff einbeziehen müssen.
3. Dienstleister werden beauftragt, aber nicht sauber eingebunden
Cloud-Dienste, Lohnbuchhaltung, IT-Support, Newsletter-Versand und digitale Terminplanung werden oft extern betrieben. Bearbeitet ein Anbieter Personendaten im Auftrag des Unternehmens, müssen Rollen, Weisungen, Vertraulichkeit, Sicherheitsmassnahmen und der Umgang mit Unterauftragnehmern passend geregelt sein.
Ein häufiger Fehler besteht darin, sich allein auf allgemeine Geschäftsbedingungen oder eine kurze Bestellbestätigung zu verlassen. Das kann genügen oder auch nicht - es hängt vom konkreten Dienst, den Daten, den Zugriffen und den vertraglichen Regelungen ab. Ebenso relevant ist die Frage, wo Daten bearbeitet oder gespeichert werden und ob ein internationaler Bezug besteht.
Ein praxistauglicher Beschaffungsprozess setzt vor Vertragsabschluss an. Fachbereich, Einkauf und IT sollten mit wenigen klaren Prüffragen arbeiten: Welche Daten sind betroffen? Wofür braucht der Anbieter Zugriff? Welche Sicherheitsvorkehrungen bestehen? Sind die erforderlichen Vereinbarungen vorhanden? So wird Datenschutz Teil des Einkaufsprozesses statt einer nachträglichen Reparatur.
4. Technische und organisatorische Massnahmen bleiben zu allgemein
Viele Unternehmen können nachvollziehbar sagen, dass sie Passwörter, Backups und Virenschutz einsetzen. Für eine belastbare Datenschutzorganisation reicht diese Aufzählung allein nicht. Technische und organisatorische Massnahmen - häufig als TOMs bezeichnet - müssen zur jeweiligen Datenbearbeitung passen und nachvollziehbar dokumentiert sein.
Besonders oft zeigen sich Lücken bei Berechtigungen. Ehemalige Mitarbeitende behalten Zugänge, ganze Teams erhalten Zugriff auf sensible Ordner oder gemeinsame Konten machen nicht nachvollziehbar, wer etwas bearbeitet hat. Auch mobile Geräte, private Speichermedien, Homeoffice-Arbeitsplätze und die Weiterleitung von Dokumenten per E-Mail verdienen Aufmerksamkeit.
Der Aufwand muss angemessen bleiben. Ein Produktionsbetrieb, ein Fitnessstudio und ein Medtech-Unternehmen haben unterschiedliche Risikoprofile. Dennoch sollten alle Unternehmen regelmässig prüfen, ob Zugriffe tatsächlich nötig sind, ob kritische Systeme geschützt werden und ob bei Eintritt, Rollenwechsel und Austritt klare Abläufe greifen.
5. Datenschutzerklärungen und interne Realität passen nicht zusammen
Eine Datenschutzerklärung wird häufig beim Website-Relaunch erstellt und danach kaum mehr überprüft. Gleichzeitig kommen Analysewerkzeuge, Kontaktformulare, Bewerbungsportale, Newsletter-Systeme oder neue Kundenplattformen hinzu. Die Erklärung beschreibt dann nicht mehr korrekt, welche Daten bearbeitet werden und zu welchen Zwecken.
Das betrifft nicht nur die Website. Auch im Bewerbungsprozess, bei Mitarbeitendeninformationen oder in Kundenformularen ist transparente Kommunikation entscheidend. Betroffene sollen verständlich erkennen können, welche Daten das Unternehmen bearbeitet, warum dies geschieht und an wen sie sich bei Fragen wenden können.
Die wirksamste Lösung ist ein einfacher Abgleichprozess: Neue oder geänderte Bearbeitungen werden im Verzeichnis erfasst, auf ihre Risiken geprüft und bei Bedarf in Informationen, Verträgen und internen Vorgaben nachgeführt. Ein zentral geführtes Datenschutzmanagement-System wie DSMS+ kann dabei helfen, diese Abhängigkeiten sichtbar zu machen und Aufgaben nachvollziehbar zu steuern.
Datenschutz nicht als Einzelprojekt behandeln
Viele Fehler lassen sich vermeiden, wenn Datenschutz als wiederkehrender Managementprozess organisiert wird. Ein einmaliges Audit kann wertvolle Lücken aufzeigen. Nachhaltig wird die Umsetzung aber erst, wenn daraus priorisierte Massnahmen, Verantwortlichkeiten und regelmässige Kontrollen entstehen.
Ein sinnvoller Start ist eine Standortbestimmung: Welche Bearbeitungen sind besonders relevant? Wo liegen sensible Daten? Welche externen Anbieter sind eingebunden? Welche Dokumente bestehen bereits und stimmen sie mit der Praxis überein? Daraus lässt sich ein realistischer Massnahmenplan ableiten, der nicht alle Themen gleichzeitig lösen muss.
Für die Umsetzung bewährt sich eine klare Reihenfolge. Zuerst sollten Unternehmen Transparenz über ihre Datenbearbeitungen und Verantwortlichkeiten schaffen. Danach folgen die grössten Lücken bei Dienstleistern, Berechtigungen, Informationen und internen Abläufen. Schulungen ergänzen diese Arbeit, denn selbst gute Vorgaben helfen wenig, wenn Mitarbeitende verdächtige E-Mails, Fehlversände oder Anfragen von Betroffenen nicht richtig einordnen können.
Auch ein Prozess für Datenschutzverletzungen gehört dazu. Er soll nicht kompliziert sein, aber Mitarbeitenden Orientierung geben: Vorfall sichern, intern rasch melden, Sachverhalt klären, Auswirkungen beurteilen und die erforderlichen Schritte dokumentieren. Wer dies vor einem Ernstfall festlegt, reduziert Hektik und Informationsverluste.
Der nächste sinnvolle Schritt
Datenschutz wird im Mittelstand dann handhabbar, wenn aus abstrakten Pflichten konkrete Routinen werden. Beginnen Sie bei den Prozessen, die in Ihrem Unternehmen täglich Daten bewegen, und klären Sie dort Zuständigkeiten, Dokumentation und Kontrollen. So entsteht Schritt für Schritt eine Datenschutzorganisation, die nicht neben dem Betrieb steht, sondern ihn zuverlässig unterstützt.