Datenstandort Schweiz

Informationspflicht: Was Mitarbeitende und Kunden über das Projekttool wissen müssen

Für: Geschäftsführer, HR und Datenschutzverantwortliche bei Einführung oder Wechsel eines Projekttools.

Kurz erklärt

Nach revDSG Art. 19 müssen Betroffene informiert werden, wenn Personendaten beschafft werden: Wer verarbeitet, zu welchem Zweck, welche Kategorien, an wen wird weitergegeben (inkl. Land). Für ein Projekttool heisst das drei Dokumente: eine Mitarbeiterinformation (Zeiterfassung, Auslastung), ein Absatz in der Datenschutzerklärung (Kunden, Ansprechpartner) und ein Hinweis für Externe beim Zugang.

Die Informationspflicht ist die am häufigsten übersehene Pflicht im revDSG — weil sie nichts kostet und niemand nachfragt, bis jemand nachfragt. Ein Mitarbeitender, der erst beim Austritt erfährt, dass seine Auslastung ausgewertet wurde, hat ein Argument. Drei kurze Texte verhindern das.

Was die Information enthalten muss

Mindestinhalt nach revDSG Art. 19 Abs. 2:

Identität und Kontakt des Verantwortlichen (die eigene Firma, nicht der Tool-Anbieter)
Bearbeitungszweck: Projektorganisation, Zeiterfassung, Verrechnung, Auslastungsplanung
Empfänger oder Kategorien: der Tool-Anbieter als Auftragsbearbeiter, mit Land — und dessen Subprozessoren in Kategorien
Bei Bekanntgabe ins Ausland: das Land und die Garantie (z. B. Standardvertragsklauseln)
Sinnvoll, wenn auch nicht Pflicht: Aufbewahrungsdauer und die Rechte der Betroffenen (Auskunft, Berichtigung, Löschung)

Drei Zielgruppen, drei Texte

Mitarbeitende: ein Absatz im Personalreglement oder eine Info-Mail vor der Einführung — was erfasst wird (Zeit, Aufgaben, Absenzen ohne Grund), wozu, wer es sieht, dass keine Verhaltensüberwachung stattfindet. Kunden und Ansprechpartner: ein Absatz in der Datenschutzerklärung der Website («Zur Projektabwicklung nutzen wir ein Projektmanagement-Tool, Datenhaltung in der Schweiz, Auftragsbearbeiter …»). Externe mit Zugang: ein Hinweis bei der Einladung — in Flenio müssen Externe der Nutzung beim ersten Zugang ausdrücklich zustimmen, und der Hinweistext lässt sich anpassen.

Textbaustein für die Datenschutzerklärung

Als Ausgangspunkt, an die eigene Situation anzupassen: «Für Projektorganisation, Zeiterfassung und Rechnungsstellung verwenden wir die Software Flenio der Innopulse Consulting GmbH, Zug. Dabei werden Kontaktdaten unserer Ansprechpartner sowie projektbezogene Informationen verarbeitet. Die Kernspeicherung erfolgt in Zürich (Schweiz); für einzelne Funktionen setzt der Anbieter dokumentierte Unterauftragsverarbeiter in der EU und — bei aktivierten KI-Funktionen — in den USA ein, abgesichert durch Standardvertragsklauseln. Es besteht ein Auftragsbearbeitungsvertrag.» Wer die KI-Funktionen deaktiviert hat, streicht den entsprechenden Halbsatz.

Häufige Fragen

Muss ich jeden Kunden einzeln informieren?

Nein — die Datenschutzerklärung auf der Website genügt, wenn sie zugänglich ist. Bei Vertragsabschluss ein Verweis darauf (AGB, Offerte) ist die saubere Praxis.

Was, wenn ich das Tool schon länger nutze und nie informiert habe?

Nachholen — jetzt. Die Pflicht besteht seit September 2023 auch für laufende Bearbeitungen. Eine Info-Mail an Mitarbeitende und ein Update der Datenschutzerklärung schliessen die Lücke.

Brauche ich eine Einwilligung?

Für Zeiterfassung und Projektorganisation nicht — die Rechtsgrundlage ist der Arbeits- bzw. Kundenvertrag. Information ja, Einwilligung nein. Einwilligungen für Pflichtaufgaben sind sogar problematisch, weil sie widerrufbar sind.