Datenstandort Schweiz

Verzeichnis der Bearbeitungstätigkeiten: Wer es braucht und was hineingehört

Für: Datenschutzverantwortliche und Geschäftsleitungen von KMU, Heimen, Praxen, Kanzleien und Treuhandbüros.

Kurz erklärt

Verantwortliche und Auftragsbearbeiter führen nach Art. 12 DSG ein Verzeichnis ihrer Bearbeitungstätigkeiten mit Zweck, Kategorien von Personen und Daten, Empfängern, Aufbewahrungsdauer, Sicherheitsmassnahmen und Auslandtransfers. Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, ausser sie bearbeiten umfangreich besonders schützenswerte Personendaten oder betreiben Profiling mit hohem Risiko (Art. 24 DSV).

Das Bearbeitungsverzeichnis ist das Inventar des Datenschutzes: Welche Daten bearbeiten wir, wozu, wer erhält sie, wie lange bleiben sie? Viele KMU sind formell davon befreit – und profitieren trotzdem davon, weil es Auskunftsbegehren, Datenpannen und Tool-Entscheide deutlich vereinfacht.

Pflichtinhalt

Für Verantwortliche enthält das Verzeichnis mindestens: die Identität des Verantwortlichen, den Bearbeitungszweck, eine Beschreibung der Kategorien betroffener Personen und bearbeiteter Personendaten, die Kategorien der Empfänger, wenn möglich die Aufbewahrungsdauer oder die Kriterien dafür, wenn möglich eine allgemeine Beschreibung der Massnahmen zur Datensicherheit und bei Bekanntgabe ins Ausland den Staat und die Garantien. Auftragsbearbeiter führen ein vereinfachtes Verzeichnis.

Die KMU-Ausnahme – und ihre Grenzen

Unternehmen mit weniger als 250 Mitarbeitenden sind nach Art. 24 DSV befreit, ausser:

Es werden umfangreich besonders schützenswerte Personendaten bearbeitet – typisch für Heime, Spitex, Arztpraxen, Therapien
Es wird ein Profiling mit hohem Risiko durchgeführt
Kanzleien und Treuhandbüros mit sensiblen Mandatsdaten sollten die Ausnahme genau prüfen
Auch ohne Pflicht verlangen Kunden in Ausschreibungen oder Audits oft einen Nachweis

In einem Nachmittag aufbauen

Ein pragmatisches Vorgehen: Prozesse auflisten, in denen Personendaten anfallen (Personal, Kunden, Lieferanten, Website, Marketing, Projekte), pro Prozess eine Zeile mit den Pflichtangaben anlegen, die eingesetzten Systeme und Anbieter ergänzen. Eine Tabelle genügt. Wichtiger als Perfektion ist, dass das Verzeichnis bei jeder Tool-Einführung nachgeführt wird.

Häufige Fragen

Muss ein Kleinunternehmen ein Bearbeitungsverzeichnis führen?

Unter 250 Mitarbeitenden grundsätzlich nicht, ausser es bearbeitet umfangreich besonders schützenswerte Personendaten oder betreibt Profiling mit hohem Risiko. Freiwillig lohnt es sich trotzdem.

Muss das Verzeichnis dem EDÖB gemeldet werden?

Private Verantwortliche müssen es nicht melden, aber auf Verlangen vorweisen können. Bundesorgane melden ihre Verzeichnisse dem EDÖB.

In welcher Form muss das Verzeichnis geführt werden?

Das Gesetz schreibt keine Form vor. Eine strukturierte Tabelle oder ein Dokument genügt, solange die Pflichtangaben enthalten und aktuell sind.