Datenschutz einfach erklärt: Die 7 grössten Fehler bei der Umsetzung des DSG in Schweizer KMU

Datenschutz in Schweizer KMU ist kein Thema, das man auf die lange Bank schieben sollte. Seit Inkrafttreten des revidierten Datenschutzgesetzes (DSG) im September 2023 sind die Anforderungen strenger und die möglichen Bussen höher. Trotzdem machen viele Schweizer KMU immer wieder dieselben Fehler bei der Umsetzung des DSG – oft aus Unwissenheit, Zeitmangel oder falschen Annahmen. Dieser Beitrag zeigt die 7 grössten Fehler, erklärt die Hintergründe und gibt praxisnahe Tipps, wie Sie diese vermeiden.

Warum Datenschutzfehler für KMU teuer werden können

Das revidierte DSG bringt für alle Unternehmen, die in der Schweiz personenbezogene Daten bearbeiten, klare Pflichten mit sich. Verstösse können nicht nur mit Bussen von bis zu 250’000 CHF geahndet werden, sondern auch den Ruf eines Unternehmens nachhaltig beschädigen. Gerade KMU, die oft ohne eigene Rechtsabteilung arbeiten, unterschätzen den Aufwand. Offizielle Informationen bietet der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) sowie der komplette Gesetzestext des revidierten DSG.

Die 7 grössten Fehler – und wie Sie sie vermeiden

1. Keine oder veraltete Datenschutzerklärung: Viele KMU haben keine aktuelle, DSG-konforme Datenschutzerklärung auf ihrer Website. Diese muss klar beschreiben, welche Daten gesammelt werden, zu welchem Zweck und wie lange sie gespeichert bleiben. Praxisbeispiel: Ein Handwerksbetrieb listet nur Analytics auf, nutzt aber zusätzlich ein CRM-System – ohne dies zu erwähnen. Das ist ein Verstoss gegen die Informationspflicht. Stichwort: DSG Fehler Schweizer KMU durch fehlende Transparenz.
2. Fehlendes Bearbeitungsverzeichnis: Das DSG verlangt, dass Unternehmen ein Verzeichnis aller Datenbearbeitungen führen. Dieses Dokument muss intern vorliegen und jederzeit vorzeigbar sein. Praxisbeispiel: Ein Fitnessstudio speichert Kundendaten, hat aber keinen Überblick, wo diese liegen (Papier, Cloud, lokale Rechner). Das erhöht Risiken und erschwert Anfragen.
3. Keine Einwilligung bei besonders schützenswerten Daten: Gesundheitsdaten oder biometrische Daten dürfen nur mit ausdrücklicher Zustimmung verarbeitet werden. Praxisbeispiel: Eine Praxis nutzt ein Online-Tool, holt aber keine explizite Einwilligung ein – teuer und unnötig riskant.
4. Unklare Verantwortlichkeiten: In vielen KMU ist nicht geregelt, wer für Datenschutzfragen zuständig ist. Ohne klaren Ansprechpartner bleiben Betroffenenanfragen liegen – ein klarer DSG-Verstoss. Praxis: Rolle definieren, Stellvertretung regeln, Kontaktkanal veröffentlichen.
5. Technische Sicherheitsmassnahmen fehlen: Ohne Verschlüsselung, Zugriffskontrollen oder regelmässige Backups steigt das Risiko von Datenpannen. Praxis: MFA, Rollenprinzip, Patch-Management und Backup-Tests.
6. Keine Schulung der Mitarbeitenden: Datenschutz steht und fällt mit Verhalten. Fehlende Schulungen führen zu Fehlern, z. B. Offene Empfängerlisten im E-Mail (CC statt BCC). Praxis: Kurztrainings, Phishing-Drills, klare Guidelines.
7. Fehlende Datenschutz-Folgenabschätzung (DSFA): Bei risikoreichen Bearbeitungen ist eine DSFA Pflicht. Praxisbeispiel: Ein Start-up mit Gesichtserkennung prüft Risiken für Betroffene nicht – rechtlich und reputationsmässig heikel.

So vermeiden KMU teure Datenschutzfehler

• Regelmässige Datenschutz-Audits: Prozesse, Dokumente und IT-Systeme mindestens jährlich prüfen; typische DSG-Fehler in KMU früh erkennen.
• Verantwortliche Person bestimmen: Intern oder extern, mit klaren Aufgaben und Vertretung.
• Mitarbeiterschulungen: Jährliche Refreshers; Fokus auf E-Mail, Passwörter, Umgang mit Betroffenenanfragen.
• Technische Sicherheit stärken: Verschlüsselung, starke Passwörter, MFA, Logging und regelmässige Backups.
• Transparenz: Klare Informationen zu Zwecken, Rechtsgrundlagen, Empfängern und Aufbewahrungsfristen.

Beispiele aus der Praxis

Ein IT-Dienstleister aus Bern reduzierte nach einer DSG-Analyse seine Kundendatenbank um 40 Prozent, indem er alte, nicht mehr benötigte Daten löschte. Neben mehr Sicherheit sanken auch Kosten. Ein Architekturbüro führte ein einfaches Rollen- und Rechtekonzept ein – seither keine versehentlichen Freigaben. Solche Anpassungen vermeiden typische DSG Fehler Schweizer KMU ohne Riesenprojekt.

FAQ – Häufige Fragen zum DSG in KMU

1. Braucht jedes KMU einen Datenschutzbeauftragten?
Nur bei umfangreicher, risikoreicher Bearbeitung oder ab einer gewissen Unternehmensgrösse. Sinnvoll ist eine klar benannte Ansprechperson.

2. Wie oft die Datenschutzerklärung aktualisieren?
Mindestens jährlich oder bei Änderungen, z. B. neuen Tools oder neuen Zwecken.

3. Was sind besonders schützenswerte Daten?
Unter anderem Gesundheitsdaten, biometrische Daten, religiöse/politische Meinungen sowie genetische Informationen.

4. Folgen bei einem Verstoss?
Bussen, Reputationsschäden und in gewissen Fällen persönliche Haftung der Geschäftsleitung.

Fazit: Datenschutz in KMU richtig umsetzen

Wer die häufigsten Fehler kennt und gezielt angeht, senkt Risiken und stärkt Vertrauen. Nutzen Sie klare Prozesse, gute Technik und regelmässige Schulungen. So vermeiden Sie typische DSG Fehler Schweizer KMU nachhaltig.

Sie wollen sicherstellen, dass Ihr KMU DSG-konform arbeitet? Datenschutzkonform.ch unterstützt Sie mit praxisnaher Beratung, massgeschneiderten Lösungen und klaren Handlungsempfehlungen – damit Datenschutz nicht zur Belastung, sondern zum Wettbewerbsvorteil wird.