Datenschutzgesetz (DSG) im KMU: Sieben Pflichten verständlich erklärt
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (DSG). Es betrifft jeden Betrieb, der Personendaten bearbeitet, also fast alle: Kundenlisten, Personaldossiers, Newsletter, Kameras, Bewerbungen. Dieser Artikel erklärt sieben zentrale Pflichten in einfacher Sprache. Er ersetzt keine Rechtsberatung. Prüfe die Details beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder bei einer Fachperson.
Was sind Personendaten?
Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen: Name, Adresse, E-Mail, Telefonnummer, Fotos, Kundennummer in Verbindung mit einer Person, IP-Adressen in bestimmten Fällen. Besonders schützenswert sind unter anderem Gesundheitsdaten, Angaben über religiöse oder politische Ansichten und biometrische Daten. Dafür gelten strengere Regeln.
Pflicht 1: Die Grundsätze einhalten
Wer Personendaten bearbeitet, beachtet unter anderem diese Grundsätze:
- Rechtmässigkeit und Treu und Glauben: Daten werden fair und nicht heimlich bearbeitet.
- Verhältnismässigkeit: Nur so viel, wie nötig. Fragst du bei der Newsletter-Anmeldung nach dem Geburtsdatum, brauchst du dafür einen Grund.
- Zweckbindung: Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden, oder für einen damit vereinbaren.
- Richtigkeit: Falsche Daten werden berichtigt.
- Datensicherheit: Daten werden angemessen geschützt.
Logi empfiehlt: Datenschutz und Datensicherheit gehören zum Cyber-Kurs für KMU, mit Praxisbeispielen und Checklisten. Dazu passt der Kurs Cyber-Security im KMU auf e-learning.place. Jetzt gratis registrieren und mit der ersten Lerneinheit starten, ohne Kreditkarte.
Pflicht 2: Betroffene informieren
Wenn du Personendaten beschaffst, informierst du die betroffenen Personen angemessen: Wer bist du, wozu bearbeitest du die Daten, an wen gibst du sie weiter? Üblich ist eine Datenschutzerklärung auf der Webseite und im Kundenkontakt. Sie muss verständlich sein und zu deinem tatsächlichen Vorgehen passen. Eine kopierte Erklärung, die nicht zu deinem Betrieb passt, hilft nicht.
Pflicht 3: Auskunft und weitere Rechte erfüllen
Personen können wissen wollen, welche Daten du über sie bearbeitest (Auskunftsrecht), und Berichtigung oder Löschung verlangen, soweit keine Ausnahmen gelten. Lege fest, wer solche Anfragen im Betrieb entgegennimmt und wie schnell sie beantwortet werden. Prüfe die Fristen im Gesetz.
Pflicht 4: Datensicherheit gewährleisten
Technische und organisatorische Massnahmen schützen Daten: Zugriffsrechte, Passwörter, Zwei-Faktor, Backups, Verschlüsselung, Schulung. Was angemessen ist, hängt von Art und Menge der Daten und vom Risiko ab. Unser Artikel zu zehn Cyber-Massnahmen im KMU liefert dafür einen Ausgangspunkt.
Pflicht 5: Verzeichnis der Bearbeitungstätigkeiten
Verantwortliche führen grundsätzlich ein Verzeichnis ihrer Bearbeitungstätigkeiten: Welche Daten, wozu, wer hat Zugriff, wie lange? Für Unternehmen mit weniger als 250 Mitarbeitenden gibt es eine Ausnahme, sofern die Datenbearbeitung nur ein geringes Risiko mit sich bringt. Besonders schützenswerte Daten in grossem Umfang führen dazu, dass die Ausnahme nicht greift. Auch wenn du ausgenommen bist, hilft eine einfache Liste, den Überblick zu behalten.
Pflicht 6: Verletzungen der Datensicherheit melden
Kommt es zu einem Vorfall, etwa einem Hackerangriff, einem verlorenen Laptop oder einer falsch versendeten Liste, musst du prüfen, ob eine Meldung nötig ist. Führt die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen, meldest du sie dem EDÖB so rasch wie möglich. Eventuell informierst du auch die Betroffenen. Halte Vorfälle schriftlich fest und besprich im Voraus, wer was entscheidet.
Pflicht 7: Dienstleister und Ausland beachten
Setzt du Dienstleister ein (Cloud, Newsletter-Tool, externe Lohnbuchhaltung), schliesst du eine Vereinbarung ab, die den Umgang mit den Daten regelt. Werden Daten ins Ausland übermittelt, gelten zusätzliche Voraussetzungen. Der EDÖB veröffentlicht Informationen dazu.
Eine einfache Checkliste für den Start
- Liste alle Datenbestände auf (Kunden, Personal, Newsletter, Bewerbungen, Kameras).
- Schreibe zu jedem Zweck, Zugriff und Aufbewahrungsdauer auf.
- Prüfe, ob deine Datenschutzerklärung dazu passt.
- Lege Verantwortlichkeiten fest (wer beantwortet Anfragen, wer entscheidet bei Vorfällen).
- Schliesse Verträge mit Dienstleistern ab oder prüfe sie.
- Schule Mitarbeitende kurz und regelmässig.
- Überprüfe jährlich, ob sich etwas geändert hat.
Folgen bei Verstössen
Das Gesetz sieht Strafen für verantwortliche Personen vor, insbesondere bei vorsätzlichen Verstössen gegen bestimmte Pflichten. Daneben drohen Vertrauensverlust und Aufwand. Das Ziel ist aber nicht die Angst, sondern ein klarer, dokumentierter Umgang mit Daten.
Übung: Passt die Datenerhebung?
Fall: Ein Fitnessstudio fragt beim Newsletter-Formular nach Name, E-Mail, Geburtsdatum und Gesundheitszustand. Beurteilung: Für den Newsletter genügen E-Mail und gegebenenfalls Name. Das Geburtsdatum braucht nur, wer es für den Zweck wirklich benötigt (zum Beispiel für Geburtstagsangebote, wenn die Person zustimmt). Gesundheitsdaten sind besonders schützenswert und gehören nicht in ein Newsletter-Formular.
Häufige Fragen
Gilt das DSG auch für kleine Betriebe?
Ja, unabhängig von der Grösse. Es gibt Erleichterungen, etwa beim Verzeichnis, aber die Grundsätze gelten für alle.
Brauche ich einen Datenschutzberater?
Nicht zwingend. Ein Datenschutzberater kann aber helfen und dir bestimmte Pflichten erleichtern. Das hängt von deinem Betrieb ab.
Wo finde ich offizielle Hilfe?
Beim EDÖB gibt es Informationen und Merkblätter für Unternehmen.
Quellen und weiterführende Links
Weiterlernen auf e-learning.place
Logi begleitet dich durch die Kurse der Plattform: mit Praxisfällen, Übungen, Lernkarten und Quiz. So wird aus diesem Artikel eine Lernroutine.
- Passender Kurs: Cyber-Security im KMU: Angriffe erkennen, Daten schützen und richtig reagieren.
- Weiterer Kurs: Cyber-Security im KMU – Fortgeschritten: Risiken steuern, Systeme härten und Vorfälle bewältigen.
- Weiterer Kurs: Buchhaltung und Lohn für KMU in der Schweiz: Buchen, Lohn abrechnen, Abschluss erstellen und Pflichten erfüllen.
- Gratis starten: Alle veröffentlichten Selbstlernkurse lassen sich mit einem Gratiskonto nutzen, mit Werbepausen und ohne Kreditkarte. Kostenlos registrieren.
- Lernpfade: Lernpfade ordnen mehrere Kurse zu einem Ziel. Alle Lernpfade ansehen oder den gesamten Kurskatalog durchsuchen.
- Premium: werbefrei lernen, mit persönlichem Lernplan, Vorlesen und KI-Lernhilfe. Premium ansehen.