Ein neues HR-System, ein Kundenportal oder die Anfrage eines Grosskunden nach Datenschutzunterlagen: Oft wird erst in solchen Momenten sichtbar, ob ein Unternehmen intern oder extern datenschutzverantwortlich organisiert ist. Die eigentliche Frage lautet jedoch nicht, wer einzelne Dokumente erstellt. Entscheidend ist, ob Datenschutz im Arbeitsalltag verbindlich gesteuert, dokumentiert und bei Veränderungen rechtzeitig berücksichtigt wird.
Für Schweizer KMU ist das seit dem Inkrafttreten des revidierten Datenschutzgesetzes am 1. September 2023 eine betriebliche Aufgabe. Je nach Geschäftsmodell kommen zusätzlich Anforderungen aus der DSGVO hinzu, etwa bei der Bearbeitung von Daten von Personen im EU-Raum. Eine passende Organisationsform schafft Klarheit, entlastet Fachbereiche und macht Datenschutz gegenüber Kundschaft, Partnern und Prüfinstanzen nachvollziehbar.
Datenschutzverantwortung bleibt im Unternehmen
Ob intern oder extern: Die Verantwortung für die Datenbearbeitungen eines Unternehmens lässt sich nicht einfach wegdelegieren. Die Geschäftsleitung und die zuständigen Fachbereiche müssen weiterhin entscheiden, welche Daten sie für welchen Zweck bearbeiten, welche Systeme eingesetzt werden und wie Risiken behandelt werden.
Eine interne oder externe Datenschutzfachperson übernimmt deshalb vor allem eine steuernde, beratende und kontrollierende Funktion. Sie bringt Struktur in die Pflichten, unterstützt Projekte, hinterfragt risikoreiche Vorhaben und sorgt dafür, dass die erforderlichen Nachweise nicht nur bei einem Audit zusammengestellt werden. Dazu gehören beispielsweise ein aktuelles Bearbeitungsverzeichnis, angemessene technische und organisatorische Massnahmen, geregelte Auftragsbearbeitungen sowie Prozesse für Auskunfts- und Löschbegehren.
Gerade diese Abgrenzung ist in der Praxis zentral: Externe Unterstützung ersetzt keine Entscheidungen im Betrieb. Sie sorgt aber dafür, dass Entscheide fundierter getroffen, Aufgaben klar zugeordnet und offene Punkte konsequent nachverfolgt werden.
Intern oder extern datenschutzverantwortlich: Die Ausgangslage prüfen
Eine interne Lösung kann gut passen, wenn bereits Fachwissen vorhanden ist und die verantwortliche Person genügend Zeit, Rückhalt und Zugriff auf die relevanten Prozesse hat. Das ist etwa bei Unternehmen sinnvoll, die regelmässig neue digitale Dienstleistungen entwickeln, sensible Daten in grösserem Umfang bearbeiten oder über ein etabliertes Compliance- und Informationssicherheits-Team verfügen.
In vielen KMU liegt Datenschutz hingegen zusätzlich bei HR, IT, Finanzen oder der Geschäftsleitung. Diese Personen kennen den Betrieb sehr gut, haben aber oft weder Zeit für die laufende Pflege noch die notwendige Distanz, um eigene Prozesse kritisch zu prüfen. Dann entstehen typische Lücken: Das Bearbeitungsverzeichnis ist unvollständig, Verträge mit Dienstleistern werden uneinheitlich geprüft oder neue Tools gehen live, bevor Datenschutzfragen geklärt sind.
Eine externe Datenschutzfachperson bringt in dieser Situation methodische Erfahrung und einen unabhängigen Blick ein. Sie muss sich nicht erst in Datenschutzgrundlagen einarbeiten und kann Prioritäten anhand von Risiken und Geschäftsrealität setzen. Dafür braucht sie einen festen Kontakt im Unternehmen, rasche Informationen und klare Entscheidungswege. Ohne diese interne Anbindung bleibt selbst die beste externe Begleitung zu weit vom Tagesgeschäft entfernt.
Die Wahl sollte daher nicht nach Stellenprozenten oder Organisationsdiagramm erfolgen, sondern nach der Frage: Wer kann Datenschutz verlässlich in die Abläufe bringen und Veränderungen laufend begleiten?
Vier Fragen für eine realistische Entscheidung
Diese vier Fragen helfen, die Ausgangslage sachlich einzuschätzen:
- Gibt es intern eine Person mit ausreichendem Datenschutzwissen und einem verbindlich reservierten Zeitfenster?
- Wie häufig verändern sich Systeme, Dienstleistungen, Standorte, Bearbeitungszwecke oder eingesetzte Dienstleister?
- Werden besondere oder besonders schützenswerte Personendaten bearbeitet, etwa Gesundheits-, Sozial- oder umfangreiche Mitarbeiterdaten?
- Braucht das Unternehmen für Kundenanforderungen, Ausschreibungen oder internationale Geschäftsbeziehungen regelmässig dokumentierte Datenschutznachweise?
Je häufiger diese Fragen mit Ja beantwortet werden, desto wichtiger sind eine klar definierte Funktion, laufende Fachunterstützung und ein belastbarer Steuerungsprozess. Das bedeutet nicht automatisch, dass eine Vollzeitstelle nötig ist. Häufig ist ein kombiniertes Modell wirtschaftlicher und näher an der Praxis.
Das interne Modell: Nähe zum Betrieb als Stärke
Die grösste Stärke einer intern verantwortlichen Person ist ihr Prozesswissen. Sie kennt die Zuständigkeiten, weiss, wo Daten tatsächlich fliessen, und kann Fragen früh in Projekte einbringen. Bei einem Wechsel des CRM, bei Videoüberwachung am Standort oder bei einer neuen Bewerbungsplattform erkennt sie schneller, welche Teams eingebunden werden müssen.
Damit dieses Modell funktioniert, braucht die Rolle ein klares Mandat. Datenschutz darf nicht zu einer Restaufgabe werden, die nur dann bearbeitet wird, wenn eine Kundenanfrage oder ein Vorfall eintrifft. Sinnvoll sind definierte Freigabepunkte für neue Anwendungen, wiederkehrende Kontrollen und eine Eskalation für ungeklärte Risiken.
Auch Weiterbildung gehört dazu. Datenschutz entwickelt sich nicht nur wegen rechtlicher Vorgaben weiter, sondern durch neue Technologien, Cloud-Dienste, KI-Anwendungen und veränderte Geschäftsprozesse. Eine einzelne interne Person kann diese Themen abdecken, benötigt dafür aber Zeit, Austausch und geeignete Arbeitsmittel.
Ein Risiko entsteht, wenn die Funktion zu stark an eine Person gebunden ist. Bei Ferien, Rollenwechsel oder Austritt geht Wissen verloren, sofern Dokumentation, Aufgabenplanung und Vorlagen nicht zentral geführt werden. Hier hilft ein Datenschutzmanagementsystem, das Zuständigkeiten, Nachweise und Fristen transparent macht.
Das externe Modell: Fachwissen und unabhängige Perspektive
Eine externe Lösung ist besonders geeignet, wenn ein KMU kein eigenes Datenschutzteam aufbauen will oder wenn regelmässig spezialisiertes Wissen gefragt ist. Das kann bei einem Unternehmen mit vielen Auftragsbearbeitern ebenso zutreffen wie bei einer Organisation, die Gesundheitsdaten bearbeitet oder zunehmend Geschäft im EU-Raum aufbaut.
Der Vorteil liegt nicht nur im Fachwissen. Externe Fachpersonen können kritische Fragen oft leichter stellen: Ist diese Datensammlung wirklich erforderlich? Sind die Zugriffsrechte nachvollziehbar? Wurden die Informationspflichten im neuen Prozess berücksichtigt? Diese Perspektive ist wertvoll, wenn operative Prioritäten im Unternehmen verständlicherweise im Vordergrund stehen.
Die Qualität einer externen Begleitung zeigt sich aber nicht in langen Gutachten. Sie zeigt sich daran, ob daraus umsetzbare Aufgaben entstehen: Wer aktualisiert welche Dokumentation bis wann? Welche Massnahme hat Priorität? Was muss ein Dienstleister liefern? Und wie wird bei einem neuen Projekt geprüft, ob eine Datenschutz-Folgenabschätzung nötig sein könnte?
Für die Zusammenarbeit braucht es feste Ansprechpartnerinnen und Ansprechpartner im Unternehmen. HR liefert Informationen zu Mitarbeiterprozessen, IT zu Systemen und Berechtigungen, Operations zu Abläufen und die Geschäftsleitung zu Entscheidungen. Externe Unterstützung funktioniert am besten als wiederkehrender Prozess, nicht als einmalige Dokumentenaktion.
Das hybride Modell ist für viele KMU passend
In der Praxis bewährt sich oft eine Aufteilung: Eine interne Koordinationsperson hält den Kontakt zu den Fachbereichen, sammelt Änderungen und sorgt dafür, dass Massnahmen im Alltag umgesetzt werden. Eine externe Datenschutzfachperson liefert Fachwissen, prüft Unterlagen, begleitet anspruchsvollere Vorhaben und unterstützt bei der Priorisierung.
Dieses Modell verbindet Betriebsnähe mit unabhängiger Expertise. Es verhindert auch, dass Datenschutzwissen ausschliesslich bei einem externen Dienstleister oder bei einer einzelnen Mitarbeiterin liegt. Die Organisation bleibt handlungsfähig, während sie bei komplexeren Fragen gezielt auf Unterstützung zurückgreifen kann.
Besonders effizient wird die Zusammenarbeit, wenn Aufgaben, Vorlagen und Nachweise an einem zentralen Ort geführt werden. Mit einer Plattform wie DSMS+ lassen sich beispielsweise Bearbeitungsverzeichnisse, technische und organisatorische Massnahmen, Auftragsbearbeitungen, Datenschutz-Folgenabschätzungen und Betroffenenanfragen strukturiert verwalten. Dadurch wird sichtbar, was erledigt ist, wo Nachweise fehlen und welche Aufgaben bei welcher Rolle liegen.
Die Entscheidung in einen umsetzbaren Plan übersetzen
Unabhängig vom gewählten Modell sollte das Unternehmen die Funktion schriftlich festlegen. Dazu gehören Zuständigkeit, Stellvertretung, Informationswege, Berichtsrhythmus und Zugang zu den relevanten Unterlagen. Ebenso wichtig ist ein einfacher Ablauf für Veränderungen: Neue Software, neue Dienstleister, neue Bearbeitungszwecke und neue Schnittstellen sollten nicht erst nach Vertragsabschluss beim Datenschutz landen.
Als pragmatischer Start eignet sich eine Standortbestimmung. Sie zeigt, welche Datenbearbeitungen und Dokumente bereits vorhanden sind, welche Lücken priorisiert werden sollten und ob die interne Kapazität ausreicht. Anschliessend lässt sich ein realistischer Jahresplan erstellen - mit wenigen klaren Massnahmen statt einer langen Liste, die im Tagesgeschäft liegen bleibt.
Die richtige Lösung ist nicht zwingend vollständig intern oder vollständig extern. Entscheidend ist eine Organisation, in der Verantwortlichkeiten klar sind, Fachwissen erreichbar bleibt und Datenschutz bei Veränderungen rechtzeitig auf den Tisch kommt. Wer diese Basis schafft, macht aus einer Pflicht einen steuerbaren Prozess, der das Vertrauen von Kundschaft, Mitarbeitenden und Geschäftspartnern im Alltag unterstützt.