Das neue Datenschutzgesetz (revDSG)

Seit dem 1. September 2023 ist das neue Bundesgesetz über den Datenschutz (revDSG) in Kraft, das die frühere Regelung abgelöst und die Schweiz an die europäischen Standards angeglichen hat. Viele KMU haben es als zusätzliche Pflicht empfunden, andere haben es ignoriert in der Hoffnung, es betreffe sie nicht. Beide Reaktionen sind falsch. Das revDSG betrifft nahezu jedes Unternehmen, denn nahezu jedes Unternehmen bearbeitet Personendaten — von Kunden, Lieferanten und Mitarbeitenden. Schauen wir uns an, was sich wirklich ändert und was konkret zu tun ist.

Was das revDSG schützt

Das Gesetz schützt die Personendaten natürlicher Personen: jede Information, die sich auf eine bestimmte oder bestimmbare Person bezieht. Name, Adresse, E-Mail, Zahlungsangaben, aber auch Informationen über Personal oder Kunden. Anders als das europäische Regime erfasst das Schweizer Recht die Daten juristischer Personen nicht mehr: Es konzentriert sich auf natürliche Personen.

Ein zentraler Grundsatz: Das Gesetz verbietet die Bearbeitung von Daten nicht, verlangt aber, dass sie rechtmässig, transparent und verhältnismässig erfolgt, zu bestimmten und erkennbaren Zwecken. Wer die Daten bearbeitet, ist dafür verantwortlich, wie er es tut.

Die wichtigsten Pflichten für ein KMU

Das revDSG führt einige konkrete Pflichten ein oder verstärkt sie.

• Information: Bei der Beschaffung sind die Personen darüber zu informieren, wer die Daten bearbeitet, zu welchen Zwecken und, sofern relevant, an welche Empfänger — typischerweise über eine klare und zugängliche Datenschutzerklärung.
• Verzeichnis der Bearbeitungstätigkeiten: Unternehmen müssen grundsätzlich ein Verzeichnis führen, welche Daten sie bearbeiten und warum. Für KMU, deren Bearbeitung ein begrenztes Risiko für die Personen mit sich bringt, sind Erleichterungen vorgesehen.
• Datensicherheit: technische und organisatorische Massnahmen, die dem Risiko angemessen sind, um die Daten vor unbefugtem Zugriff und Verlust zu schützen.
• Meldung von Verletzungen: Bei einer Verletzung der Datensicherheit, die ein hohes Risiko für die Personen mit sich bringt, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) so rasch als möglich zu informieren.
• Rechte der Personen: Wer von der Bearbeitung seiner Daten betroffen ist, kann Auskunft, Berichtigung und, in den vorgesehenen Fällen, Löschung verlangen. Das Unternehmen muss antworten können.
• Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen: Der Schutz muss von Beginn der Prozesse an mitgedacht und nicht nachträglich ergänzt werden.

Besondere Aufmerksamkeit gilt den besonders schützenswerten Personendaten (Gesundheit, Ansichten, biometrische Daten, Gewerkschafts- oder Religionszugehörigkeit) und dem Profiling, wofür das Gesetz verstärkte Schutzvorkehrungen vorsieht.

Das Thema der Bekanntgabe ins Ausland

Viele KMU nutzen Cloud-Tools, CRM-Systeme oder E-Mail-Marketing-Dienste, die ausserhalb der Schweiz gehostet werden. Personendaten ins Ausland zu übermitteln ist möglich, aber nur in Länder, die einen angemessenen Schutz gewährleisten, oder — fehlt dieser — unter Anwendung geeigneter Garantien (zum Beispiel anerkannter Vertragsklauseln). Es ist einer der Punkte, bei denen Unternehmen am häufigsten Fehler machen, oft ohne es zu merken.

Unterschiede zur europäischen DSGVO

Das revDSG ist von der DSGVO inspiriert, aber nicht identisch. Wer bereits DSGVO-konform ist, hat einen Grossteil der Arbeit erledigt, aber nicht alles.

• Der Aufbau ist ähnlich: Transparenz, Zweckbindung, Rechte der betroffenen Personen, Sicherheit.
• Die Sanktionen funktionieren anders: Das revDSG sieht Bussen vor, die in erster Linie die verantwortlichen natürlichen Personen treffen (bis zu 250’000 CHF in den vorgesehenen Fällen), nicht primär das Unternehmen als solches. Für die Geschäftsleitung ist das ein wichtiger Perspektivenwechsel.
• Einige Pflichten und Schwellenwerte unterscheiden sich. Ein auch gegenüber der EU tätiges Unternehmen muss beide Regime berücksichtigen.

Was in der Praxis zu tun ist

Die Herstellung der Konformität erfordert nicht zwingend ein riesiges Projekt, aber einen geordneten Weg.

1. Kartieren Sie die Daten: welche Personendaten Sie erheben, wo Sie sie aufbewahren, wer darauf zugreift, wohin sie gehen (auch ins Ausland).
2. Aktualisieren Sie die Datenschutzerklärung auf Website, Formularen und Verträgen.
3. Erstellen Sie das Bearbeitungsverzeichnis, angemessen zu Ihrer Grösse.
4. Prüfen Sie die Lieferanten: Bearbeiten Ihre Dienstleister die Daten konform? Es braucht angemessene Vereinbarungen.
5. Legen Sie Verfahren fest, um auf Auskunftsbegehren zu reagieren und eine allfällige Verletzung zu bewältigen.
6. Schulen Sie die Mitarbeitenden: Ein Grossteil der Vorfälle entsteht durch Verhalten, nicht durch Technik.

Wie wir arbeiten

SIH ONE ist eine AI-native Treuhandgruppe mit einer eigenen Abteilung für Recht und Governance. Wir helfen KMU, ihre Exposition einzuschätzen, ihre Bearbeitungen zu kartieren, verhältnismässige Erklärungen und Verzeichnisse vorzubereiten sowie Bekanntgaben ins Ausland und Lieferantenbeziehungen korrekt zu handhaben. Ziel ist eine materielle Konformität, nicht ein Ordner voller Dokumente, den niemand nutzt.

Möchten Sie wissen, wo Ihr Unternehmen im Hinblick auf das revDSG exponiert ist? Machen wir gemeinsam eine Bestandsaufnahme.