Datenschutz nach nDSG: was KMU wirklich tun müssen

Was ändert sich beim Datenschutz durch das nDSG für KMU?

Das revidierte Datenschutzgesetz (DSG) ist seit dem 1. September 2023 in Kraft. Es gilt für alle Unternehmen, die Personendaten bearbeiten, also auch für jedes KMU mit Kundenkartei, Mitarbeitenden oder Kontaktformular. Für kleinere Firmen gibt es eine Erleichterung: Wer weniger als 250 Mitarbeitende beschäftigt, muss kein Verzeichnis der Bearbeitungstätigkeiten führen, ausser es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet oder ein Profiling mit hohem Risiko durchgeführt (Art. 24 DSV).

Neu oder verschärft sind unter anderem die Informationspflicht beim Beschaffen von Personendaten (Art. 19 DSG) und die Pflicht, eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko so rasch als möglich dem EDÖB zu melden (Art. 24 DSG). Bei vorsätzlichen Verstössen gegen bestimmte Pflichten drohen Bussen bis CHF 250'000. Sie richten sich grundsätzlich gegen die verantwortlichen Personen (Art. 60 DSG). Nur ausnahmsweise kann stattdessen der Betrieb gebüsst werden, bis CHF 50'000 (Art. 64 DSG).

Welche Anforderungen gelten für Datenschutz nach nDSG in KMU?

Welche Pflichten konkret gelten, hängt davon ab, welche Daten Sie bearbeiten und wofür. Für die meisten KMU sind es diese Punkte:

• Daten nur für einen erkennbaren Zweck bearbeiten, nicht mehr als nötig sammeln und nicht länger als nötig aufbewahren (Art. 6 DSG). Anders als in der EU braucht nicht jede Bearbeitung eine Einwilligung.
• Mitarbeitende und Kunden informieren, wie ihre Daten genutzt werden. Für viele KMU reicht dafür eine einfache Datenschutzerklärung auf der Website.
• Die Daten technisch und organisatorisch schützen, etwa mit sicheren Passwörtern, Verschlüsselung und klaren internen Regeln.
• Auskunftsbegehren beantworten. Jede Person kann erfahren, ob und welche Daten Sie über sie bearbeiten (Art. 25 DSG), in der Regel innert 30 Tagen (Art. 18 DSV).

Daten im Ausland: was erlaubt ist

Das DSG verbietet nicht, Daten im Ausland zu bearbeiten. Eine Bekanntgabe ins Ausland ist erlaubt, wenn der Bundesrat dem Staat einen angemessenen Datenschutz bescheinigt hat, oder wenn andere Garantien bestehen, zum Beispiel Datenschutzklauseln im Vertrag (Art. 16 DSG).

Für ein KMU heisst das: Prüfen Sie bei jedem Cloud- oder KI-Dienst, wo die Daten bearbeitet werden, und halten Sie es fest. Werden Daten ins Ausland bekanntgegeben, gehört der Staat in die Datenschutzerklärung (Art. 19 DSG). Ein Datenstandort in der Schweiz vereinfacht die Prüfung, macht eine Lösung aber allein noch nicht datenschutzkonform.

Praktische Umsetzung: Schritt für Schritt

Sie müssen nicht alles auf einmal umsetzen. Eine sinnvolle Reihenfolge:

1. Notieren Sie, welche Daten Sie sammeln, wo Sie sie speichern und an wen Sie sie weitergeben.
2. Schreiben Sie eine verständliche Datenschutzerklärung für die Website. Bei heiklen Daten, etwa Gesundheitsdaten, lohnt sich eine Prüfung durch eine Fachperson.
3. Schliessen Sie mit Dienstleistern, die Personendaten für Sie bearbeiten, etwa für Buchhaltung, Cloud-Speicher oder Newsletter, einen Vertrag zur Auftragsbearbeitung ab (Art. 9 DSG).
4. Nutzen Sie starke Passwörter und Zwei-Faktor-Anmeldung, installieren Sie Updates und sichern Sie Ihre Daten regelmässig.
5. Halten Sie schriftlich fest, welche Schutzmassnahmen Sie getroffen haben. Das ist Ihr Nachweis.
6. Prüfen Sie mindestens einmal im Jahr, ob die Massnahmen noch reichen.

Automatisierung hilft bei der nDSG-Compliance

Automatisierung kann den Datenschutz einfacher machen. Eine Dokumentenablage mit Zugriffsrechten, automatische Backups oder ein fester Ablauf für Auskunftsbegehren sparen Zeit und verhindern Fehler von Hand, etwa eine E-Mail an den falschen Empfänger.

Bei Aladin AI legen wir vor jedem Projekt fest, welche Daten wo bearbeitet werden und welche Dienste beteiligt sind. Auf Wunsch laufen die Abläufe auf Ihrem eigenen Server oder auf einem Server in der Schweiz. KI-Dienste können Daten auch ausserhalb der Schweiz bearbeiten. Das steht dann so in der Dokumentation, und Sie entscheiden.

Wo Sie Hilfe bekommen

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlicht Leitfäden und Merkblätter, auch für kleine Unternehmen. Den Gesetzestext finden Sie auf Fedlex. Bei konkreten Rechtsfragen hilft eine Fachperson für Datenschutzrecht. Dieser Ratgeber ersetzt keine Rechtsberatung.

Wenn Sie Abläufe automatisieren und den Datenschutz von Anfang an mitplanen möchten: So gehen wir bei der KI-Automatisierung für KMU vor.

Quellen: Datenschutzgesetz (DSG), SR 235.1 · Datenschutzverordnung (DSV), SR 235.11 · EDÖB