Checklisten

Checkliste revDSG-Selbstcheck für KMU

Für: Geschäftsführer und Datenschutzverantwortliche in Schweizer KMU ohne eigene Rechtsabteilung.

Kurz erklärt

KMU müssen nach revDSG eine verständliche Datenschutzerklärung haben, mit jedem Dienstleister, der Personendaten bearbeitet, einen Auftragsbearbeitungsvertrag abschliessen, Auskunftsbegehren innert 30 Tagen beantworten, angemessene Datensicherheit nachweisen und Datenschutzverletzungen mit hohem Risiko dem EDÖB melden. Ein Bearbeitungsverzeichnis ist ab 250 Mitarbeitenden Pflicht — und darunter nützlich.

Das revDSG ist seit September 2023 in Kraft, ohne Übergangsfrist. Die meisten KMU haben die Datenschutzerklärung angepasst und den Rest verschoben. Diese Liste ist kein Rechtsgutachten, sondern die Bestandesaufnahme, die vor dem Gespräch mit dem Anwalt steht — sie zeigt, wo es fehlt.

AVV: Der Punkt, der am häufigsten fehlt

Jeder Dienstleister, der Personendaten für dich bearbeitet — Cloud-Speicher, Newsletter-Tool, Projektmanagement, Lohnbuchhaltung — braucht einen Auftragsbearbeitungsvertrag (DSG Art. 9). Seriöse Anbieter stellen ihn zur Unterschrift bereit; Flenio hat ihn unter /avv. Fehlt der AVV, haftest du für den Dienstleister.

Datensicherheit ist nachweispflichtig

Das revDSG verlangt «angemessene» Sicherheit — was angemessen ist, hängt vom Risiko ab. Nachweisbar wird sie durch Dokumentation: Wer hat Zugriff worauf, wie wird verschlüsselt, wie wird gesichert, wann wird gelöscht. Eine Seite TOMs genügt für die meisten KMU.

Meldepflicht: Prozess vor dem Vorfall

Ob eine Datenpanne dem EDÖB gemeldet werden muss, entscheidet sich am Risiko für die Betroffenen. Diese Bewertung im Vorfall zu improvisieren, geht schief. Der Prozess — wer bewertet, wer meldet, wer informiert — steht vorher.

Häufige Fragen

Brauche ich als KMU einen Datenschutzberater?

Nicht gesetzlich. Sinnvoll ist eine verantwortliche Person intern und ein Anwalt für die Datenschutzerklärung und AVV-Fragen. Die Aufsicht über die eigene Datenbearbeitung lässt sich nicht delegieren.

Gilt die DSGVO auch für mich?

Wenn du Personen in der EU Waren oder Dienstleistungen anbietest oder ihr Verhalten beobachtest, ja. Viele Schweizer KMU mit deutschen Kunden fallen darunter — dann gelten beide Gesetze parallel.

Was droht bei Verstössen?

Bussen bis 250'000 Franken — gegen die verantwortliche natürliche Person, nicht das Unternehmen. Das ist der Punkt, der Geschäftsführer aufmerksam macht.