Das revDSG verlangt von einem KMU weniger, als die meisten befürchten und anderes, als die meisten tun.

Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023 für jedes Unternehmen in der Schweiz. Seither sehen wir in KMU zwei Reaktionen. Die einen haben sich eine Datenschutzerklärung generieren lassen, auf die Webseite gestellt und das Thema abgehakt. Die anderen warten darauf, dass jemand ihnen sagt, was zu tun ist und tun bis dahin nichts. Beide liegen in dieselbe Richtung daneben: Das Gesetz verlangt weniger Papier, als befürchtet wird und es setzt mehr Wissen darüber voraus, wo die eigenen Daten liegen, als die meisten haben.

Was hier steht, ist unsere Lesart aus der Praxis und keine Rechtsberatung. Wo es um eine Busse, einen konkreten Vertrag oder einen Streitfall geht, gehört eine juristische Einschätzung dazu. Die folgenden Pflichten stehen in der Reihenfolge, in der sie Arbeit machen: von der einen, die an einem Nachmittag erledigt ist, bis zu der, die ein KMU über Wochen beschäftigt.

Die Informationspflicht ist die einzige Pflicht, die von aussen sichtbar ist.

Wer Personendaten erhebt, muss die betroffene Person darüber informieren: wer die Daten bearbeitet, zu welchem Zweck, an wen sie weitergegeben werden und in welches Land, falls sie die Schweiz verlassen. Für ein KMU ist das in der Regel die Datenschutzerklärung auf der Webseite, dazu ein Absatz im Bewerbungsformular und einer im Kundenvertrag.

Der Aufwand dafür ist klein und genau darum wird er falsch gemacht. Ein generierter Text ist in zwanzig Minuten da, beschreibt aber ein Unternehmen, das es so nicht gibt. Wenn in der Erklärung steht, dass keine Daten ins Ausland gehen und das Kontaktformular schickt jede Anfrage an einen Mailanbieter in den USA, dann ist die Erklärung nicht unvollständig, sondern falsch. Der brauchbare Weg ist umgekehrt: zuerst aufschreiben, welche Werkzeuge im Haus sind und was sie mit Daten tun, dann den Text darauf abstimmen. Das dauert einen halben Tag statt zwanzig Minuten und hält dafür.

Ein Bearbeitungsverzeichnis müssen die meisten KMU nicht führen, den Überblick brauchen sie trotzdem.

Das Gesetz verlangt ein Verzeichnis der Bearbeitungstätigkeiten. Für Unternehmen mit weniger als 250 Mitarbeitenden gilt eine Ausnahme, solange die Bearbeitung nur ein geringes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt. Die Ausnahme fällt weg, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet. Eine Arztpraxis, ein Personalvermittler und ein Versicherungsbroker fallen deshalb in der Regel nicht unter die Ausnahme, ein Malerbetrieb mit dreissig Mitarbeitenden schon.

Unsere Empfehlung ist trotzdem, die Tabelle zu führen, auch wenn man nicht muss. Nicht wegen der Aufsicht, sondern weil ohne sie keine der anderen Pflichten sauber erfüllbar ist. Zehn bis zwanzig Zeilen reichen: welche Daten, aus welchem Grund, in welchem Werkzeug, wie lange und wer ausserhalb des Unternehmens sie sieht. Zwei Stunden genügen dafür, wenn jemand die Buchhaltung nach den Abos durchsieht, denn dort steht besser sichtbar, welche Werkzeuge im Einsatz sind, als in der IT. Wer die vier Entscheide aus KI im KMU bereits getroffen hat, hat den grössten Teil dieser Tabelle schon beisammen.

Auskunft geben zu können ist eine Frage der Vorbereitung, nicht des Rechts.

Jede Person darf fragen, welche Daten ein Unternehmen über sie bearbeitet. Die Auskunft ist grundsätzlich unentgeltlich und in der Regel innert 30 Tagen zu erteilen. Rechtlich ist das unspektakulär. Praktisch ist es der Punkt, an dem sich zeigt, ob die Tabelle aus dem letzten Abschnitt existiert.

Ein Beispiel, das wir so mehrfach gesehen haben: Eine ehemalige Mitarbeiterin stellt ein Auskunftsbegehren. Ihre Daten liegen im Lohnprogramm, im Personaldossier auf dem Fileserver, in zwei Mailpostfächern, in der Zeiterfassung und im Chat. Wer weiss, wo zu suchen ist, braucht dafür einen Tag. Wer es nicht weiss, verpasst die Frist und diskutiert danach über etwas, das eine Stunde Vorbereitung erledigt hätte. Diese Vorbereitung ist eine Seite: wo welche Personendaten liegen, wer sie herausholen kann und wer die Antwort unterschreibt.

Die Daten im Ausland sind die Pflicht, die tatsächlich Wochen kostet.

Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat dem Zielland einen angemessenen Schutz bescheinigt oder wenn der Schutz vertraglich sichergestellt ist, etwa über Standardvertragsklauseln. Die Staaten des EWR stehen auf dieser Liste. Für die USA anerkennt der Bundesrat seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework, allerdings nur für Anbieter, die sich dort zertifiziert haben. Das heisst in der Praxis: pro Anbieter nachsehen, statt pauschal annehmen.

Dazu kommt der Vertrag mit dem Auftragsbearbeiter. Wer Personendaten von einem Dienstleister bearbeiten lässt, vom Cloudspeicher über das CRM bis zur Lohnbuchhaltung, braucht eine vertragliche Grundlage dafür, die festhält, was der Dienstleister mit den Daten darf und was nicht.

Hier liegt der eigentliche Aufwand und er ist keine juristische Arbeit, sondern eine Inventur. Ein KMU mit dreissig Mitarbeitenden kommt schnell auf zwanzig bis vierzig Dienste, in denen Personendaten liegen. Für jeden ist zu klären, wo er läuft, was im Vertrag steht und ob es eine Alternative gibt, die näher liegt. Was davon realistisch in der Schweiz betrieben werden kann und wo der Preis dafür zu hoch wird, haben wir in Digitale Souveränität in der Schweiz aufgeschrieben.

Datensicherheit und die Meldepflicht sind die zwei Pflichten mit Folgen.

Das Gesetz verlangt eine angemessene Datensicherheit, ohne eine Technologie vorzuschreiben. Angemessen heisst für ein KMU: Zugriffe sind auf die Personen beschränkt, die sie für ihre Arbeit brauchen, Konten haben eine zweite Stufe bei der Anmeldung und es gibt ein Backup, das jemand schon einmal zurückgespielt hat. Der letzte Punkt ist der, an dem es nach unserer Erfahrung am häufigsten hakt und er hat bei uns einen eigenen Beitrag: Backup Strategie.

Kommt es zu einer Verletzung der Datensicherheit, die für die betroffenen Personen ein hohes Risiko bedeutet, ist sie dem EDÖB so rasch als möglich zu melden. Wer diese Pflicht im Ernstfall zum ersten Mal liest, verliert die Stunden, die zählen. Zwei Sätze im Notfallplan genügen: wer entscheidet, ob gemeldet wird und wer die Meldung macht.

Zur Einordnung der Folgen: Das Gesetz sieht Bussen bis CHF 250'000 vor und sie richten sich gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen. Auch das ist unsere Lesart. Wir nennen die Zahl nicht, um Druck zu machen, sondern weil sie erklärt, warum diese Entscheide in die Geschäftsleitung gehören und nicht in die IT.

Was das revDSG von einem normalen KMU nicht verlangt.

Ebenso nützlich wie die Liste der Pflichten ist die Liste dessen, was keine ist. Nach unserer Lesart gilt für ein durchschnittliches KMU:

• Es braucht keine Datenschutzberaterin und keinen Datenschutzberater, die Rolle ist freiwillig.
• Es braucht keine Zertifizierung und kein Siegel.
• Es braucht keine Datenschutz Folgenabschätzung für die normale Kundenadministration und Personaladministration.
• Es braucht keine Einwilligung für jede Bearbeitung, denn wer Daten für den vereinbarten Zweck bearbeitet, tut das grundsätzlich rechtmässig. Sobald Personendaten in ein KI Werkzeug gehen, ist der vereinbarte Zweck verlassen und dann braucht es sie doch: revDSG und KI.
• Es braucht kein Einwilligungsbanner für Cookies, jedenfalls nicht aus dem revDSG heraus.

Der Erstaufwand für ein KMU mit 10 bis 50 Mitarbeitenden liegt nach unserer Erfahrung bei zwei bis vier Arbeitstagen, verteilt über einige Wochen und der grösste Teil davon fällt bei der Inventur der Dienste an, nicht beim Schreiben von Dokumenten. Danach bleibt es bei einem halben Tag im Jahr, sofern eine Person zuständig ist. Wer stattdessen weiter wartet, spart den Aufwand nicht, sondern verschiebt ihn und trägt ihn dann unter Zeitdruck.