Ein neues HR-Tool, eine Kundenumfrage oder die Auslagerung der IT wirken im Alltag wie einzelne Projekte. Datenschutzrechtlich hinterlassen sie jedoch Spuren: neue Datenkategorien, zusätzliche Empfänger, geänderte Zugriffsrechte und allenfalls neue Informationspflichten. Genau hier setzen sechs Dokumente für Datenschutzmanagement an. Sie machen sichtbar, wie ein Unternehmen Personendaten bearbeitet, wer Verantwortung trägt und welche Massnahmen tatsächlich umgesetzt sind.
Für Schweizer KMU geht es dabei nicht darum, einen möglichst dicken Compliance-Ordner zu erstellen. Entscheidend ist eine Dokumentation, die zum Betrieb passt, aktuell bleibt und bei Kundenanfragen, internen Veränderungen oder einem Audit rasch Orientierung schafft. Das seit dem 1. September 2023 geltende Datenschutzgesetz (DSG) verlangt keine Papierübung, sondern nachvollziehbare Prozesse.
Warum sechs Dokumente den Unterschied machen
Datenschutz scheitert in der Praxis selten daran, dass Verantwortliche keine Regeln kennen. Häufig fehlen der Überblick und ein verlässlicher Ort für Entscheidungen. Dann weiss die IT nicht, welche Anforderungen mit einem neuen Anbieter verbunden sind, HR pflegt eigene Listen, und die Geschäftsleitung erhält bei einer Kundenanfrage nur Teilinformationen.
Die folgenden sechs Dokumente bilden für viele Unternehmen eine praxistaugliche Grundlage. Nicht jede Organisation benötigt alle Unterlagen im gleichen Umfang: Wer keine externen Dienstleister einsetzt, braucht weniger Auftragsbearbeitungsvereinbarungen. Eine Datenschutz-Folgenabschätzung ist nur bei Bearbeitungen mit voraussichtlich hohem Risiko erforderlich. Die Dokumente müssen zudem aufeinander abgestimmt sein. Ein Bearbeitungsverzeichnis, das ein anderes Bild zeigt als die Datenschutzerklärung, schafft keine Klarheit.
1. Das Bearbeitungsverzeichnis als Arbeitskarte
Das Bearbeitungsverzeichnis ist der zentrale Ausgangspunkt im Datenschutzmanagement. Es hält fest, welche Bearbeitungen es gibt, etwa Personaladministration, Kundenverwaltung, Newsletter, Videoüberwachung oder Supportanfragen. Zu jeder Bearbeitung gehören unter anderem Zweck, betroffene Personengruppen, Datenkategorien, Empfänger, Speicherfristen und eingesetzte Systeme.
Für ein Produktionsunternehmen kann beispielsweise die Lohnbuchhaltung, die Zutrittskontrolle und die Verwaltung von Lieferantenkontakten je eine eigene Bearbeitung darstellen. Ein Fitnessstudio ergänzt typischerweise Mitgliederdaten, Zutrittsdaten und allenfalls Gesundheitsangaben. Diese Unterscheidung ist nicht akademisch: Sie zeigt, welche Daten besonders schutzwürdig sein können und wo externe Anbieter eingebunden sind.
Ein brauchbares Verzeichnis wird nicht einmal erstellt und abgelegt. Es wird angepasst, wenn ein neues Tool eingeführt, eine Schnittstelle aktiviert oder ein Prozess verändert wird. Wer die Verantwortung für diese Pflege klar zuordnet, reduziert Rückfragen bei Audits und beschleunigt interne Projekte erheblich.
2. Die Datenschutzerklärung für transparente Kommunikation
Die Datenschutzerklärung erklärt externen Personen verständlich, wie das Unternehmen Daten bearbeitet. Sie richtet sich je nach Kontaktpunkt an Website-Besuchende, Kundinnen und Kunden, Bewerbende oder andere betroffene Personen. Ihr Zweck ist Transparenz, nicht juristische Selbstdarstellung.
Eine gute Erklärung beschreibt konkret, welche Daten in welchem Zusammenhang bearbeitet werden, weshalb dies geschieht, wie lange Daten üblicherweise aufbewahrt werden und an welche Kategorien von Empfängern sie gelangen können. Sie sollte zu den tatsächlich genutzten Formularen, Analysewerkzeugen, Newsletter-Prozessen und Kundenportalen passen.
Eine allgemeine Vorlage ist als Startpunkt nützlich, ersetzt aber keine Prüfung der eigenen Realität. Wird beispielsweise ein Bewerbungsportal genutzt oder werden Daten über einen externen Terminbuchungsdienst erhoben, muss dies in der Erklärung angemessen abgebildet sein. Ebenso wichtig ist die laufende Aktualisierung bei Änderungen auf der Website oder in den eingesetzten Systemen.
3. Die TOM-Dokumentation für gelebte Sicherheit
TOM steht für technische und organisatorische Massnahmen. Hinter dem Begriff stehen die konkreten Schutzvorkehrungen eines Unternehmens: Zugriffskontrollen, Berechtigungskonzepte, Mehrfaktor-Authentisierung, Verschlüsselung, Backups, klare Austrittsprozesse oder Regelungen für das Arbeiten im Homeoffice.
Die TOM-Dokumentation sollte nicht lediglich eine Liste von Standardmassnahmen enthalten. Sie muss erkennbar machen, was tatsächlich gilt. Wenn Mitarbeitende über private Geräte auf Kundendaten zugreifen dürfen, gehört eine entsprechende Regelung dazu. Wenn nur bestimmte Rollen auf HR-Dossiers zugreifen dürfen, sollte dieses Berechtigungskonzept nachvollziehbar dokumentiert sein.
Das erforderliche Schutzniveau hängt von den Daten und Risiken ab. Eine einfache Kontaktliste verlangt andere Massnahmen als ein System mit Gesundheitsdaten oder detaillierten Bewegungsprofilen. Deshalb lohnt es sich, die TOM-Dokumentation mit IT, Fachbereichen und Geschäftsleitung zu erstellen. So werden technische Realität und organisatorische Verantwortung zusammengeführt.
4. Auftragsbearbeitungsvereinbarungen mit Dienstleistern
Viele Datenbearbeitungen erfolgen heute nicht mehr ausschliesslich im eigenen Unternehmen. Cloud-Speicher, Lohnbuchhaltung, CRM, Hosting, Support-Plattformen oder externe IT-Betreuung können Personendaten im Auftrag bearbeiten. Für diese Konstellationen braucht es eine passende vertragliche Regelung zur Auftragsbearbeitung.
Eine Auftragsbearbeitungsvereinbarung klärt insbesondere, welche Daten der Dienstleister bearbeiten darf, zu welchem Zweck er dies tut, welche Sicherheitsmassnahmen erwartet werden und wie mit Unterauftragsbearbeitern umzugehen ist. Auch Unterstützung bei Anfragen betroffener Personen oder bei Sicherheitsvorfällen sollte geregelt sein.
Nicht jeder Lieferant ist automatisch Auftragsbearbeiter. Eine externe Treuhandstelle kann je nach Aufgabe eigene gesetzliche Pflichten und Entscheidungsspielräume haben. Die Einordnung hängt vom konkreten Verhältnis ab. Praktisch bewährt sich eine Lieferantenliste, die zum Bearbeitungsverzeichnis passt: Welche Anbieter bearbeiten Personendaten, welche Verträge liegen vor, und wann wurden sie zuletzt geprüft?
5. Die Datenschutz-Folgenabschätzung für risikoreiche Vorhaben
Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist kein Standardformular für jedes neue Softwareprojekt. Sie wird relevant, wenn eine geplante Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte betroffener Personen mit sich bringt. Das kann etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten, systematischer Überwachung oder neuen Technologien der Fall sein.
Das Dokument zwingt ein Projektteam zu den richtigen Fragen: Welche Daten sind nötig? Welche Risiken entstehen für betroffene Personen? Lassen sich Daten reduzieren, Zugriffe beschränken oder Speicherfristen verkürzen? Welche technischen und organisatorischen Massnahmen senken das verbleibende Risiko?
Gerade bei Projekten mit engem Zeitplan sollte diese Prüfung früh erfolgen. Wird sie erst kurz vor dem Go-live angestossen, sind Anpassungen oft teuer und organisatorisch mühsam. Eine schlank dokumentierte Vorprüfung hilft zudem, nachvollziehbar zu begründen, weshalb eine umfassende DSFA erforderlich ist oder weshalb nicht.
6. Das Datenschutzreglement mit klaren Abläufen
Die ersten fünf Dokumente beschreiben Datenbearbeitungen, Transparenz, Schutzmassnahmen, Dienstleister und Risiken. Damit sie im Alltag wirken, braucht es ein Datenschutzreglement oder eine vergleichbare interne Weisung. Es legt Rollen, Zuständigkeiten und wiederkehrende Abläufe fest.
Darin sollte beispielsweise geregelt sein, wer neue Bearbeitungen prüft, wie Mitarbeitende Anfragen betroffener Personen weiterleiten, wer Sicherheitsvorfälle entgegennimmt und wie die Eskalation erfolgt. Ebenso gehören Schulung, periodische Überprüfung der Dokumentation und Freigaben für neue Dienstleister in diesen Rahmen.
Ein Reglement muss für die betroffenen Teams verständlich sein. Für die Geschäftsleitung stehen Verantwortlichkeiten und Kontrollpunkte im Vordergrund, für HR der Umgang mit Bewerbungs- und Personaldaten, für die IT Berechtigungen, Änderungen und Incident-Prozesse. Ergänzende Arbeitsanweisungen können sinnvoll sein, wenn sie nicht zu einem unübersichtlichen Regelwerk führen.
Sechs Dokumente für Datenschutzmanagement sinnvoll aufbauen
Der effizienteste Start ist eine strukturierte Bestandsaufnahme. Erfassen Sie zunächst die wichtigsten Datenbearbeitungen und Systeme, statt sofort jedes Detail dokumentieren zu wollen. Daraus ergeben sich die grössten Lücken meist schnell: fehlende Verträge mit Dienstleistern, eine veraltete Datenschutzerklärung, ungeklärte Verantwortlichkeiten oder Sicherheitsmassnahmen, die zwar vorhanden, aber nicht dokumentiert sind.
Anschliessend lohnt sich eine Priorisierung nach Risiko und Nutzen. Prozesse mit besonders schützenswerten Daten, hohem Datenvolumen oder vielen externen Beteiligten verdienen zuerst Aufmerksamkeit. Gleichzeitig sollten kundennahe Themen wie Website, Kontaktformulare und Auskunftsanfragen nicht liegen bleiben, weil sie unmittelbar sichtbar sind.
Eine zentrale Lösung hilft, Versionen, Freigaben und Verantwortlichkeiten zusammenzuhalten. Mit einer Plattform wie DSMS+ lassen sich Bearbeitungsverzeichnis, TOMs, DSFA, Datenschutzerklärungen und Auftragsbearbeitung strukturiert verknüpfen. Der Nutzen entsteht jedoch nicht durch das Werkzeug allein, sondern durch die Regelmässigkeit: Änderungen müssen in den zuständigen Prozess zurückfliessen.
Der beste nächste Schritt ist deshalb nicht, alle sechs Dokumente gleichzeitig perfekt formulieren zu wollen. Benennen Sie eine verantwortliche Person, schaffen Sie einen realistischen Überblick über Ihre Datenbearbeitungen und legen Sie einen festen Rhythmus für Aktualisierungen fest. So wird Datenschutzmanagement zu einer verlässlichen Arbeitsroutine statt zu einem Projekt, das erst bei einer Anfrage wieder auftaucht.