Die Datenschutzerklärung beschreibt, was im Unternehmen passiert und darum fängt die Arbeit dort erst an.

Die Datenschutzerklärung ist der einzige Teil des Datenschutzes, den man von aussen sieht. Darum ist sie in vielen KMU auch der einzige Teil, der erledigt ist: Generator, zwanzig Minuten, Link im Footer. Das Problem daran ist selten der Text. Die meisten generierten Erklärungen sind sprachlich sauber und decken die Punkte ab, die das Gesetz verlangt. Das Problem ist, was so ein Text tut. Er beschreibt, wie ein Unternehmen mit Personendaten umgeht. Er sorgt nicht dafür, dass es so ist.

Was hier steht, ist unsere Lesart aus der Praxis und keine Rechtsberatung. Wo es um einen konkreten Vertrag, eine Busse oder einen Streitfall geht, gehört eine juristische Einschätzung dazu.

Eine Beschreibung wird nicht dadurch wahr, dass sie veröffentlicht ist.

Die Informationspflicht ist erfüllt, wenn die betroffene Person weiss, wer ihre Daten bearbeitet, wozu, wer sie sonst noch sieht und in welches Land sie gehen. Die Erklärung ist die Form, in der ein KMU das mitteilt. Sie ist damit eine Sammlung von Aussagen über den eigenen Betrieb und jede dieser Aussagen ist überprüfbar.

Überprüft wird sie auch und zwar nicht in erster Linie von einer Behörde. Es ist die Einkaufsabteilung eines Kunden, die vor dem Zuschlag nachfragt. Es ist die Bewerberin, die wissen will, wo ihr Dossier liegt. Es ist der Kunde, der nach einem Vorfall den Text von damals mit dem vergleicht, was tatsächlich passiert ist. Alle drei lesen in fünf Minuten, was das Unternehmen über sich behauptet.

Wenn in der Erklärung steht, dass Personendaten die Schweiz nicht verlassen und das Kontaktformular schickt jede Anfrage über einen Mailanbieter in den USA, dann ist der Text nicht unvollständig, sondern falsch. Das ist schlechter als kein Text, weil es aus einem Versäumnis eine Aussage macht.

Fünf Sätze in jeder Erklärung sind Behauptungen über den Betrieb.

Fast jede Vorlage enthält diese Aussagen und jede davon verlangt etwas, das im Unternehmen wahr sein muss:

• Wir geben Daten an Dienstleister weiter: setzt voraus, dass jemand die Liste dieser Dienstleister kennt und dass es mit ihnen eine vertragliche Grundlage für die Bearbeitung gibt.
• Die Bearbeitung findet in der Schweiz oder im EWR statt: setzt voraus, dass für jeden einzelnen Dienst geprüft ist, wo er betrieben wird.
• Wir löschen Daten, sobald der Zweck erfüllt ist: setzt voraus, dass irgendwo steht, wie lange was aufbewahrt wird und dass es jemand tut.
• Auskunftsbegehren beantworten wir innert 30 Tagen: setzt voraus, dass bekannt ist, in welchen Systemen die Daten einer einzelnen Person liegen.
• Wir treffen angemessene technische Massnahmen: setzt voraus, dass Zugriffe begrenzt sind, Konten eine zweite Stufe bei der Anmeldung haben und ein Backup existiert, das schon einmal zurückgespielt wurde.

Keine dieser fünf Voraussetzungen entsteht beim Schreiben. Sie entstehen im Betrieb und der Text hält danach fest, was der Fall ist. Welche Pflichten ein KMU sonst noch treffen und in welcher Reihenfolge sie Arbeit machen, steht in revDSG: was jedes KMU braucht.

Der Weg beginnt bei der Liste der Dienste und endet beim Text.

Die brauchbare Reihenfolge ist umgekehrt zur üblichen. Zuerst steht die Liste der Dienste, in denen Personendaten liegen, mit Zweck, Ort und Vertrag. Ein KMU mit dreissig Mitarbeitenden kommt dabei auf zwanzig bis vierzig Einträge und die meisten davon findet man nicht in der IT, sondern in der Kreditorenbuchhaltung. Wie diese Liste aufgebaut wird und welche Spalten sie braucht, haben wir in Software Nutzungsverzeichnis beschrieben.

Erst danach wird der Text geschrieben oder der generierte Text korrigiert. Der Abgleich selber ist keine grosse Sache: Wer die Liste hat, braucht dafür einen halben Tag. Wer sie nicht hat, braucht zwei bis drei Tage und der Unterschied liegt vollständig in der Inventur und nicht im Schreiben.

Dabei kommen regelmässig Punkte zum Vorschein, die vorher niemand entschieden hat. Ein Dienst läuft in einem Land, das man so nicht gewählt hätte. Für zwei Dienste gibt es keinen Vertrag über die Auftragsbearbeitung. Ein Werkzeug wird von einer Abteilung genutzt, von der die Geschäftsleitung nichts wusste, was regelmässig auf Schatten-KI hinausläuft. Diese Entscheide sind die eigentliche Arbeit und die Erklärung macht sie nur sichtbar.

Der Text veraltet schneller als jeder andere Text auf der Webseite.

Eine Datenschutzerklärung ist an dem Tag korrekt, an dem sie geschrieben wurde und sie wird mit jedem neuen Abo ein Stück weit falsch. Drei Stellen sehen wir am häufigsten: ein KI Dienst, der seit dem letzten Jahr im Einsatz ist und in keiner Aufzählung steht; ein gewechselter Anbieter für Formular, Mail oder Newsletter; und ein Dienst, der seinen Betriebsort verlegt hat, ohne dass es jemandem aufgefallen wäre. Was davon sich in der Schweiz betreiben lässt und wo der Preis dafür zu hoch wird, steht in Digitale Souveränität in der Schweiz.

Dagegen hilft dieselbe Regel, die auch das Nutzungsverzeichnis aktuell hält und sie wirkt aus demselben Grund: Sie hängt an einem Anlass, den es ohnehin gibt. Wer einen neuen Dienst einführt, der Personendaten sieht, prüft vor der Freigabe zwei Zeilen in der Erklärung. Das kostet ein paar Minuten und passiert dann, wenn die Information vorliegt. Dazu einmal im Jahr eine halbe Stunde, in der eine zuständige Person den Text und die Liste nebeneinanderlegt.

Der Aufwand für das Ganze ist überschaubar und er ist auch nicht der Punkt. Der Punkt ist, dass die Erklärung das Ergebnis der Arbeit ist und nicht ihr Ersatz. Wer zuerst den Text bestellt, hat eine Beschreibung von einem Unternehmen, das es so nicht gibt. Wer zuerst aufschreibt, was tatsächlich passiert, bekommt den Text am Ende fast geschenkt und weiss dazu, an welchen Stellen er nachbessern muss.