Ein neues HR-Tool ist fast eingerichtet, das CRM soll nächste Woche starten oder ein Kundenportal ist in Entwicklung. Genau in diesen Momenten entscheidet sich, ob Datenschutz später zur aufwendigen Korrektur wird oder ob er den Prozess sinnvoll begleitet. Privacy by Design bedeutet, Datenschutz von Beginn an in Produkte, Abläufe und IT-Systeme einzubauen und nicht erst kurz vor dem Go-live oder nach einer kritischen Rückfrage.
Für Schweizer Unternehmen ist das keine freiwillige Kür: Art. 7 DSG verlangt seit dem 1. September 2023 ausdrücklich, dass die Datenbearbeitung «ab der Planung» technisch und organisatorisch so ausgestaltet wird, dass die Datenschutzvorschriften eingehalten werden. Statt einzelne Dokumente nachträglich zu erstellen, wird Datenschutz damit Teil der normalen Projektarbeit. Das spart Abstimmungsschleifen, macht Verantwortlichkeiten klarer und stärkt das Vertrauen von Kundinnen, Mitarbeitenden und Geschäftspartnern.
Was der Grundsatz im Unternehmen bedeutet
Privacy by Design wird oft mit einer Datenschutzerklärung oder einem IT-Sicherheitsprojekt verwechselt. Beides kann dazugehören, reicht allein aber nicht aus. Gemeint ist ein Grundsatz: Wer eine neue Bearbeitung von Personendaten plant, berücksichtigt Zweck, Datenumfang, Zugriffe, Aufbewahrung und Sicherheit bereits bei der Konzeption. Art. 7 Abs. 1 DSG nennt dafür zwei Stellschrauben, die zusammenwirken: die Ausgestaltung der Bearbeitung selbst und die technischen und organisatorischen Massnahmen.
Eine Physiotherapiepraxis kann den Ansatz beispielsweise beim Wechsel auf eine neue Praxissoftware anwenden. Noch bevor Daten migriert werden, klärt sie, welche Angaben für Termine, Behandlungsdokumentation und Abrechnung tatsächlich nötig sind. Sie legt fest, welche Rollen auf Behandlungsdaten zugreifen und welche nur auf Termine, wie lange Dossiers aufbewahrt werden und wie Patientinnen Auskunft oder Berichtigung verlangen können. Weil Gesundheitsdaten nach Art. 5 lit. c DSG zu den besonders schützenswerten Personendaten zählen, sind die Anforderungen hier höher als bei einer reinen Adressverwaltung. So entsteht keine zusätzliche Datenschutzschicht neben dem Projekt, sondern ein nachvollziehbarer Prozess innerhalb der Lösung.
Das Prinzip gilt nicht nur für Software. Auch bei neuen Formularen, Videoüberwachung, Bewerbungsprozessen, Marketingkampagnen, externen Dienstleistern oder KI-gestützten Funktionen stellt sich dieselbe Frage: Welche Daten werden bearbeitet, wofür und wie bleibt die Bearbeitung kontrollierbar?
Warum nachträgliche Korrekturen teuer werden
Datenschutzfragen werden in vielen KMU erst sichtbar, wenn ein System fast fertig konfiguriert ist. Dann zeigt sich etwa, dass Standardfelder unnötige sensible Angaben abfragen, eine Berechtigung zu weit gefasst ist oder ein Auftragsbearbeitungsvertrag fehlt. Technisch lässt sich manches korrigieren. Organisatorisch wird es jedoch rasch aufwendig: Daten müssen bereinigt, Prozesse angepasst, Mitarbeitende nachgeschult und Vereinbarungen mit Dienstleistern ergänzt werden.
Dazu kommt das rechtliche Risiko. Verstösse gegen die Mindestanforderungen an die Datensicherheit oder gegen Informations- und Sorgfaltspflichten können nach Art. 60 bis 62 DSG mit einer Busse bis 250'000 Franken geahndet werden, und zwar gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen. Wer die Klärung in die Projektphase verlegt, senkt dieses Risiko genau dort, wo es entsteht.
Privacy by Design verschiebt die Klärung an den sinnvolleren Zeitpunkt. Das Projektteam prüft die wesentlichen Datenschutzfragen, solange Architektur, Prozess und Beschaffung noch gestaltbar sind. Das führt nicht automatisch zur datenärmsten oder kompliziertesten Lösung, sondern zu einer bewussten Entscheidung, die zum Zweck und zum Risiko der Bearbeitung passt.
Dabei gibt es Zielkonflikte. Ein Vertriebsteam möchte möglichst viele Informationen im CRM erfassen, um Beziehungen gezielt zu pflegen. Die Administration braucht gewisse Daten für die Abwicklung, die IT will eine einfache Berechtigungsstruktur. Der Grundsatz verlangt nicht, jeden Wunsch pauschal abzulehnen. Er verlangt, den Nutzen zusätzlicher Daten gegen die Folgen abzuwägen und die Entscheidung nachvollziehbar festzuhalten.
Die Arbeit beginnt vor der Tool-Auswahl
Die wichtigste Arbeit findet häufig vor der technischen Umsetzung statt. Wer zuerst ein Tool auswählt und erst danach Anforderungen definiert, übernimmt oft fremde Standardeinstellungen. Diese passen nicht zwingend zu den eigenen Prozessen oder zur Datenbearbeitung im Unternehmen.
Am Anfang steht deshalb eine kurze Bestandsaufnahme. Welches geschäftliche Ziel verfolgt das Vorhaben? Welche Personengruppen sind betroffen? Dazu zählen je nach Projekt Kundinnen, Interessenten, Mitarbeitende, Bewerberinnen, Lieferantenkontakte oder Besuchende. Anschliessend wird geklärt, welche Datenkategorien wirklich erforderlich sind und ob besonders schützenswerte Daten betroffen sein können.
Ebenso wichtig ist der Datenfluss. Woher stammen die Daten, in welchem System werden sie gespeichert, wer nutzt sie und an wen werden sie weitergegeben? Bei Cloud-Diensten oder externen Fachapplikationen sollte auch sichtbar sein, welche Rollen der Anbieter übernimmt und welche vertraglichen sowie organisatorischen Punkte zu regeln sind. Gerade bei Auftragsbearbeitung mit Cloud-Diensten braucht diese Prüfung besondere Aufmerksamkeit, weil Speicherort und Unterauftragnehmer mitgeprüft werden müssen.
Diese Fragen müssen nicht in jedem Projekt ein langes Rechtsgutachten auslösen. Für viele Vorhaben genügt eine standardisierte Projektprüfung mit klaren Eskalationspunkten. Wird die Bearbeitung umfangreich, besonders sensibel oder mit einem hohen Risiko für die Persönlichkeit der betroffenen Personen verbunden, verlangt Art. 22 DSG eine Datenschutz-Folgenabschätzung. Die Projektprüfung entscheidet also auch darüber, wann der aufwendigere Weg nötig ist.
Datenschutzfreundliche Voreinstellungen sind der zweite Hebel
Eng mit Privacy by Design verbunden ist Privacy by Default, in Art. 7 Abs. 3 DSG als Pflicht zu datenschutzfreundlichen Voreinstellungen verankert. Ein System soll nicht mehr Daten erfassen, sichtbar machen oder länger speichern, als für den vorgesehenen Zweck erforderlich ist. Die betroffene Person muss aktiv zustimmen, wenn mehr geschehen soll.
In der Praxis ist das oft sehr konkret. Ein Online-Formular enthält nur Pflichtfelder, die für die Anfrage notwendig sind. Neue Benutzerkonten erhalten nicht automatisch weitreichende Zugriffsrechte. Newsletter-Anmeldungen sind nicht vorausgewählt. Exportfunktionen stehen nur den Rollen zur Verfügung, die sie für ihre Aufgabe benötigen. Und bei einer neuen App wird geprüft, ob Standort, Kontakte oder Kamera wirklich benötigt werden.
Solche Entscheidungen verbessern meist auch die Datenqualität. Weniger Pflichtfelder reduzieren Fehleingaben. Klare Rollen senken die Gefahr, dass Mitarbeitende zufällig auf Informationen zugreifen, die sie nicht benötigen. Definierte Lösch- und Archivierungsregeln verhindern, dass Altdaten ohne erkennbaren Zweck weitergeführt werden. Wie sich diese Regeln sauber festlegen lassen, zeigt der Beitrag zum Löschkonzept im Unternehmen.
So verankern KMU den Ansatz im Alltag
Entscheidend ist nicht ein einmaliges Konzept, sondern ein wiederholbarer Ablauf. Datenschutz sollte dort eingebunden werden, wo Veränderungen entschieden werden: bei Beschaffungen, Softwareprojekten, Prozessänderungen und der Einführung neuer Dienstleister.
Ein schlanker Ablauf kann aus fünf Schritten bestehen:
- Vorhaben erfassen: Projektziel, verantwortliche Stelle, betroffene Personen und geplante Systeme dokumentieren.
- Datenbearbeitung prüfen: Datenkategorien, Zweck, Datenflüsse, Zugriffe, Speicherfristen und externe Empfänger festhalten.
- Massnahmen definieren: Nur erforderliche Felder einrichten, Berechtigungen nach Rollen vergeben, Sicherheitsmassnahmen nach Art. 8 DSG bestimmen und die Informationspflicht nach Art. 19 DSG einplanen.
- Entscheidungen dokumentieren: Ergebnisse in das Verzeichnis der Bearbeitungstätigkeiten, in die Massnahmenübersicht sowie in die Projektunterlagen überführen.
- Vor Go-live kontrollieren: Testen, ob Einstellungen, Verträge, Prozesse für Betroffenenanfragen und Schulungsbedarf tatsächlich berücksichtigt sind.
Für kleine Änderungen muss dieser Ablauf nicht schwerfällig sein. Wenn ein bestehendes Formular um ein Feld ergänzt wird, reicht möglicherweise eine kurze Prüfung. Bei der Einführung eines neuen HR-Systems oder der Verknüpfung mehrerer Datenquellen ist die Prüfung entsprechend breiter. Der Massstab richtet sich nach Umfang, Sensibilität und möglichen Auswirkungen der Bearbeitung. Art. 7 Abs. 2 DSG sagt das ausdrücklich: Massgebend sind Stand der Technik, Art und Umfang der Bearbeitung sowie das Risiko für die betroffenen Personen.
Verantwortlichkeiten klar statt Datenschutz nebenbei
Der Grundsatz scheitert selten daran, dass niemand Datenschutz ernst nimmt. Häufig fehlt ein klarer Übergabepunkt. Die IT geht davon aus, dass Fachbereiche die Datenanforderungen festlegen. Der Fachbereich nimmt an, dass der Anbieter alles datenschutzkonform vorkonfiguriert. Die Geschäftsleitung sieht ein Effizienzprojekt und erhält die Datenschutzfragen erst kurz vor dem Abschluss.
Hilfreich ist eine einfache Rollenverteilung. Die fachlich verantwortliche Stelle erklärt den Zweck und die benötigten Informationen. Die IT beurteilt technische Umsetzung, Zugriffe und Sicherheitsmassnahmen. Einkauf oder Administration klären die Zusammenarbeit mit Dienstleistern. Eine Datenschutzfachperson unterstützt bei der Einordnung, bei der Dokumentation und bei vertieften Abklärungen. Die Geschäftsleitung sorgt dafür, dass der Prozess verbindlich genutzt wird, und trägt dafür auch die Verantwortung der Geschäftsleitung.
Damit dies funktioniert, brauchen Mitarbeitende keine umfassende juristische Ausbildung. Sie müssen erkennen können, wann ein Vorhaben Personendaten betrifft und an welcher Stelle sie eine Prüfung auslösen sollen. Praxisnahe Awareness-Schulungen anhand eigener Prozesse sind dafür oft wirksamer als allgemeine Regelwerke.
Dokumentation macht Entscheidungen nutzbar
Eine gute Datenschutzdokumentation ist kein Archiv für Audits. Sie hilft im operativen Alltag. Wenn ein Kunde wissen möchte, welche Daten bearbeitet werden, oder ein Dienstleister wechselt, müssen Informationen rasch verfügbar sein. Das gelingt nur, wenn Verzeichnis, Massnahmen, Verträge und Löschregeln zusammenpassen.
Hier zeigt sich der Nutzen einer zentralen Struktur. Mit einer Plattform wie DSMS+ lassen sich Aufgaben, Nachweise und Zuständigkeiten an einem Ort führen, statt sie über Tabellen, E-Mails und verschiedene Ablagen zu verteilen. Die Software ersetzt nicht die Entscheidung im Projekt. Sie sorgt aber dafür, dass sie nachvollziehbar dokumentiert, zugewiesen und später überprüft werden kann.
Ein sinnvoller erster Schritt
Wählen Sie nicht gleich das grösste Digitalisierungsprojekt. Prüfen Sie ein Vorhaben, das in den nächsten Monaten ohnehin ansteht: ein neues Online-Formular, eine externe Software, eine Kampagne oder eine Prozessänderung im HR. Halten Sie Zweck, Daten, Zugriffe, Dienstleister und Aufbewahrung in einer kurzen Vorlage fest. Daraus wird schnell sichtbar, welche Fragen im Unternehmen wiederkehren und wo ein standardisierter Ablauf den grössten Nutzen bringt.
Wo Ihr Unternehmen heute steht, zeigt der kostenlose Privacy Check in wenigen Minuten. Der beste Zeitpunkt für Datenschutz in der Konzeption ist nicht, wenn ein Problem entstanden ist. Er ist der Moment, in dem jemand sagt: Wir planen etwas Neues.
Häufige Fragen
Ist Privacy by Design in der Schweiz gesetzlich vorgeschrieben?
Ja. Art. 7 DSG verpflichtet die verantwortliche Person, die Datenbearbeitung ab der Planung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden. Massgebend sind dabei der Stand der Technik, Art und Umfang der Bearbeitung sowie das Risiko für die betroffenen Personen. Eine bestimmte Methode schreibt das Gesetz nicht vor, wohl aber das Ergebnis.
Was unterscheidet Privacy by Design von Privacy by Default?
Privacy by Design betrifft die Gestaltung der Bearbeitung insgesamt: Zweck, Datenumfang, Zugriffe, Aufbewahrung und Sicherheit werden bereits in der Konzeption festgelegt. Privacy by Default nach Art. 7 Abs. 3 DSG betrifft die Voreinstellungen eines Systems: standardmässig darf nur das Minimum an Bearbeitung aktiv sein, alles Weitere setzt eine Einwilligung voraus. In der Praxis greifen beide ineinander.
Braucht jedes Projekt eine Datenschutz-Folgenabschätzung?
Nein. Eine DSFA ist nach Art. 22 DSG nur nötig, wenn die geplante Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten oder systematischer Überwachung. Für alle übrigen Vorhaben genügt eine schlanke, dokumentierte Projektprüfung.
Wie lässt sich der Ansatz in einem kleinen Betrieb ohne IT-Abteilung umsetzen?
Mit einer einseitigen Prüfvorlage, die vor jeder Beschaffung oder Prozessänderung ausgefüllt wird: Zweck, betroffene Personen, Datenkategorien, Zugriffe, Dienstleister, Aufbewahrung. Verantwortlich ist die Person, die das Vorhaben fachlich führt. Externe Unterstützung braucht es nur bei heiklen Fällen, etwa bei Gesundheitsdaten oder Bearbeitungen im Ausland.