Das neue Bundesgesetz über den Datenschutz, in Kraft seit dem 1. September 2023, gilt für praktisch alle Schweizer Unternehmen. Viele KMU-Inhaberinnen und -Inhaber haben es zu diesem Zeitpunkt entdeckt, von Bussen im sechsstelligen Bereich gehört, und das Thema dann mangels Ausgangspunkt liegen lassen.
Dieser Artikel beantwortet die einzige Frage, die wirklich zählt: Was verlangt dieses Gesetz konkret von Ihrem Unternehmen, und was kann Ihnen passieren, wenn Sie nichts tun. Falls Sie eine sofortige Antwort bevorzugen, positioniert Sie der Test „Bin ich vom nDSG betroffen?” mit fünf Fragen.
Was hat das Gesetz für Schweizer Unternehmen verändert?
Das alte Gesetz stammte aus dem Jahr 1992. Es wurde geschrieben, bevor es das breite Internet, die Cloud und Smartphones gab. Die Revision verfolgt drei Ziele: das Schweizer Recht der europäischen DSGVO annähern, die Transparenz gegenüber den betroffenen Personen stärken und wirksame Sanktionsmittel schaffen.
Der Philosophiewechsel ist der wichtigste Punkt. Das Gesetz verlangt nicht mehr nur, nichts falsch zu machen. Es verlangt, nachweisen zu können, dass Sie es richtig machen: Ihre Bearbeitungen dokumentieren, die Personen informieren, Ihre Daten mit geeigneten Massnahmen sichern. Das ist das sogenannte Rechenschaftsprinzip.
Eine Klarstellung, die oft beruhigt: Entgegen einer verbreiteten Annahme verlangt das nDSG keine Zertifizierung, keine obligatorische Prüfung und keine vorherige Meldung an eine Behörde. Es gibt kein Formular, das zur Einhaltung der Vorschriften eingereicht werden müsste.
Ist Ihr Unternehmen betroffen?
Ja, in fast allen Fällen. Das Gesetz gilt, sobald Sie Personendaten bearbeiten, das heisst jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht.
Das umfasst viel mehr, als man sich gemeinhin vorstellt:
- Name und E-Mail-Adresse einer Kundin in Ihrer Fakturierungssoftware;
- die Akte einer Mitarbeiterin, ihr Lohn, ihre Arbeitszeugnisse;
- die Aufnahmen Ihrer Überwachungskamera;
- die Liste Ihrer Geschäftskontakte in einem CRM;
- eingegangene Bewerbungen für eine Stelle, auch nicht berücksichtigte.
Es gibt keine Schwelle nach Mitarbeiterzahl oder Umsatz. Eine Einzelunternehmung unterliegt dem Gesetz genauso wie ein Konzern. Was sich mit der Grösse ändert, ist der Umfang der Massnahmen, die vernünftigerweise von Ihnen erwartet werden können, nicht die Tatsache, betroffen zu sein.
Ein Vorbehalt betrifft den öffentlichen Sektor. Gemeinden und kantonale öffentliche Einrichtungen unterstehen nicht dem Bundesgesetz, sondern ihrem kantonalen Datenschutzgesetz. Ein KMU, das für ein Gemeinwesen arbeitet, sollte diese zweite Regelung daher kennen, die für den Kanton Freiburg in unserem Artikel über das freiburgische kantonale LPrD und seine Dienstleister vorgestellt wird.
Viele Unternehmen glauben, sie unterlägen der DSGVO, weil ihre Website aus Europa erreichbar ist. Das reicht nicht aus. Die DSGVO gilt, wenn Sie aktiv den europäischen Markt ansprechen: Preise in Euro angezeigt, Lieferung in die EU, eine für ein europäisches Publikum übersetzte Website, gezielte Werbung. Ein Westschweizer KMU, das ausschliesslich in der Schweiz verkauft, unterliegt allein dem nDSG.
Die Pflichten, die ein KMU wirklich betreffen
Der Gesetzestext umfasst mehr als sechzig Artikel. Hier sind jene, die in einem KMU konkrete Wirkung entfalten.
| Pflicht | Was das konkret bedeutet | Betrifft |
|---|---|---|
| Personen informieren | Eine klare, zugängliche Datenschutzerklärung, die angibt, wer was bearbeitet, warum, und wohin die Daten gehen | Alle |
| Daten sichern | Technische und organisatorische Massnahmen, die dem Risiko angemessen sind: eingeschränkter Zugriff, Backups, robuste Passwörter | Alle |
| Schwere Verletzungen melden | Dem EDÖB jedes Datenleck melden, das ein hohes Risiko für die Personen darstellt | Alle |
| Auskunftsbegehren beantworten | Einer Person auf Anfrage die über sie gespeicherten Daten liefern, grundsätzlich innerhalb von 30 Tagen und kostenlos | Alle |
| Bearbeitungsverzeichnis führen | Ihre Bearbeitungstätigkeiten dokumentieren | Ab 250 Mitarbeitenden, und bestimmte KMU |
| Folgenabschätzung | Die Risiken vor einer Bearbeitung mit hohem Risiko formell bewerten | Sonderfälle |
In der Praxis bereiten zwei Pflichten den KMU Probleme: das Verzeichnis und die Meldung von Datenlecks. Hier die Einzelheiten.
Das Bearbeitungsverzeichnis: die Befreiung und ihre zwei Fallen
Das ist der Punkt, der die meisten Fragen aufwirft, und die Antwort ist für KMU eher gut.
Artikel 12 Absatz 5 des Gesetzes beauftragt den Bundesrat, Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden vorzusehen, deren Bearbeitung ein begrenztes Risiko darstellt. Diese Bedingungen sind in Artikel 24 der Datenschutzverordnung (DSV, SR 235.11) festgelegt.
Kurz gesagt: **Ein Unternehmen mit weniger als 250 Mitarbeitenden am
-
Januar des Jahres ist von der Führung eines Verzeichnisses befreit**, ausser wenn einer dieser beiden Fälle zutrifft:
-
es bearbeitet besonders schützenswerte Personendaten in grossem Umfang;
-
es betreibt ein Profiling mit hohem Risiko.
Diese beiden Ausnahmen sind alternativ: Eine allein reicht aus, um die Befreiung entfallen zu lassen.
Besonders schützenswerte Personendaten umfassen insbesondere Gesundheitsdaten, religiöse oder politische Ansichten, gewerkschaftliche Zugehörigkeit, genetische und biometrische Daten sowie Informationen über strafrechtliche oder administrative Verfolgungen.
Eine Arztpraxis, eine Physiotherapiepraxis, eine Pensionskasse, ein Treuhandbüro, das Betreibungsdossiers verwaltet, eine Personalvermittlung: Diese KMU bearbeiten regelmässig besonders schützenswerte Personendaten. Die Befreiung greift bei ihnen wahrscheinlich nicht, selbst mit fünf Mitarbeitenden. Die Schwelle von 250 Mitarbeitenden ist nicht das einzige Kriterium.
Eine Bemerkung des gesunden Menschenverstands: Selbst wenn die Befreiung greift, bleibt ein knappes Verzeichnis nützlich. Es handelt sich um ein Dokument von ein bis zwei Seiten, das Ihre Bearbeitungen, deren Zweck und Ihre Dienstleister aufführt. Es hilft Ihnen, im Falle eines Vorfalls rasch zu reagieren und gegenüber einer Kundschaft oder einer Versicherung Ihre Seriosität zu belegen.
Was tun im Falle eines Datenlecks?
Artikel 24 des Gesetzes verpflichtet dazu, dem EDÖB jede Verletzung der Datensicherheit zu melden, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt.
Zwei wesentliche Unterschiede zur DSGVO sind es wert, bekannt zu sein, weil sie sehr oft falsch wiedergegeben werden.
Es gibt keine 72-Stunden-Frist. Das Schweizer Gesetz spricht von „so rasch als möglich” und legt keine Anzahl Stunden fest. Das bedeutet nicht, dass man abwarten kann: Der Massstab bleibt anspruchsvoll, und eine unbegründete Verzögerung würde Ihnen vorgeworfen. Aber die Mechanik des europäischen Countdowns existiert hier nicht.
Die Auslöseschwelle liegt höher. Die DSGVO schreibt die Meldung vor, ausser das Risiko sei unwahrscheinlich. Das Schweizer Gesetz schreibt sie nur bei hohem Risiko vor. Konkret sind in der Schweiz deutlich weniger Vorfälle meldepflichtig. Ein verschlüsselter, verlorener Laptop ohne möglichen Zugriff auf die Daten löst in der Regel keine Meldepflicht aus.
Zwei ergänzende, oft übersehene Punkte:
- Wenn Sie Auftragsbearbeiterin für jemand anderen sind, müssen Sie jede Verletzung Ihrer Auftraggeberin melden, ohne Risikoschwelle.
- Die von Ihnen gemachte Meldung darf ohne Ihre Zustimmung nicht gegen Sie in einem Strafverfahren verwendet werden (Art. 24 Abs. 6). Der Gesetzgeber wollte vermeiden, dass die Angst vor Selbstbelastung Unternehmen davon abhält, Vorfälle zu melden. Das ist ein Argument, das man kennen sollte, wenn sich intern die Frage stellt, ob man melden soll oder nicht.
Die Meldung erfolgt über das dafür vorgesehene Portal des EDÖB. Sie beschreibt die Art der Verletzung, ihre Folgen und die getroffenen Massnahmen. Das vollständige Verfahren wird ausführlich in unserem Artikel über die Meldung einer Datenschutzverletzung an den EDÖB beschrieben.
Was riskieren Sie wirklich?
Hier kursieren die meisten Ungenauigkeiten. Hier ist, was der Gesetzestext tatsächlich sagt.
Die Artikel 60 bis 63 des Gesetzes sehen eine Busse von bis zu CHF 250’000 vor. Sie sanktioniert insbesondere die fehlende Information der Personen, die Übermittlung von Daten ins Ausland ohne gültige Rechtsgrundlage, die Übertragung einer Bearbeitung an eine Auftragsbearbeiterin ohne ausreichende Garantien oder die Nichteinhaltung der Mindestanforderungen an die Datensicherheit.
Drei Klarstellungen verändern die praktische Reichweite dieser Zahl vollständig.
Die Busse richtet sich gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen. Das ist der markanteste Unterschied zur DSGVO. Die verantwortliche Geschäftsleitung oder Mitarbeiterin wird persönlich sanktioniert. Das ist ein weiterer Grund dafür, dass sich die Geschäftsleitung selbst mit dem Thema befasst, statt es zu delegieren, wie wir in die Geschäftsleitung zuerst schulen erläutern. Es gibt jedoch eine Ausnahme: Wenn die vorgesehene Busse CHF 50’000 nicht übersteigt und die Identifizierung der verantwortlichen Person unverhältnismässige Untersuchungsmassnahmen erfordern würde, kann die Behörde das Unternehmen zur Zahlung verurteilen (Art. 64 Abs. 2).
Nur vorsätzliche Verstösse sind strafbar. Fahrlässigkeit wird strafrechtlich nicht sanktioniert. Ein gutgläubiger Fehler führt nicht zu einer Busse.
Die Verfolgung erfolgt für die meisten Widerhandlungen auf Antrag. Es braucht also, dass jemand, in der Regel eine betroffene Person, Anzeige erstattet. Der EDÖB kann daneben eine Untersuchung einleiten und verbindliche Entscheide erlassen.
Für ein Schweizer KMU bleibt die strafrechtliche Sanktion selten. Das konkrete Risiko liegt anderswo: der Vertrauensverlust Ihrer Kundschaft nach einem Datenleck, die vertragliche Haftung gegenüber einem Auftraggeber, der Ihnen Garantien vorschrieb, und die Betriebsunterbrechung, wenn der Vorfall Ihre Systeme trifft. Die Einhaltung der Vorschriften schützt vor allem davor.
Wo Sie konkret anfangen sollten
Wenn Sie bei null anfangen, liefert diese Reihenfolge das beste Ergebnis für die aufgewendete Zeit.
- Erstellen Sie eine Bestandsaufnahme Ihrer Daten. Welche Werkzeuge enthalten Personendaten? Fakturierungssoftware, E-Mail, CRM, Cloud, Badgesystem, Kameras. Eine Seite reicht aus.
- Identifizieren Sie Ihre Dienstleister. Wer hostet diese Daten, und wo? Ein Dienstleister ausserhalb der Schweiz oder ausserhalb der EU verlangt besondere Aufmerksamkeit.
- Verfassen oder überarbeiten Sie Ihre Datenschutzerklärung. Das ist die sichtbarste Pflicht, die am einfachsten zu erfüllende, und die erste, die Ihre Kundschaft prüft.
- Sichern Sie den Zugriff auf die Daten. Zwei-Faktor-Authentifizierung, Löschung der Konten ausgeschiedener Mitarbeitender, getestete Backups. Das sind die Massnahmen, die das Gesetz hinter dem Begriff „Datensicherheit” erwartet, und sie finden sich alle in den 10 wesentlichen Massnahmen für ein KMU, deren Umsetzungstempo nach Unternehmensgrösse im Aktionsplan nach Unternehmensgrösse aufgeschlüsselt ist.
- Legen Sie das Vorgehen im Falle eines Datenlecks schriftlich fest. Wer entscheidet, wer meldet, in welcher Reihenfolge. Zwei Absätze sind mehr wert als eine Improvisation am entscheidenden Tag.
- Prüfen Sie, ob die Befreiung vom Verzeichnis wirklich für Sie gilt, insbesondere wenn Sie Gesundheitsdaten oder Betreibungsdaten bearbeiten.
Diese Schritte überschneiden sich weitgehend mit den grundlegenden Sicherheitsmassnahmen, die von jedem Unternehmen erwartet werden. Die Einhaltung des Gesetzes und der Schutz vor Cyberangriffen entwickeln sich gemeinsam: Dieselben Massnahmen dienen beiden Zielen.
Um Ihr Unternehmen in drei Minuten einzuordnen, greift der Cyber-Check-up diese Punkte in Form von Fragen auf und gibt Ihnen eine Bewertung mit Ihren drei Prioritäten. Die weiteren für Schweizer Unternehmen geltenden Pflichten sind im Themenbereich Regulierung zusammengefasst.