Datenstandort Schweiz

revDSG im Projektmanagement: Was seit 2023 gilt

Für: Projektleiter, Geschäftsführer und Datenschutzverantwortliche in Schweizer KMU.

Kurz erklärt

Seit 1. September 2023 gilt das revidierte Datenschutzgesetz (revDSG). Für Projektteams heisst das: Personen informieren, deren Daten bearbeitet werden; ein Verzeichnis führen (ab 250 Mitarbeitenden oder bei risikoreichen Bearbeitungen); Datenschutz von Anfang an einplanen; Datenpannen dem EDÖB melden; Auskunft innert 30 Tagen geben.

Das revDSG hat die Schweiz an die DSGVO angenähert — mit einem wichtigen Unterschied: Es setzt auf Eigenverantwortung statt Bussenkatalog für Unternehmen. Bussen bis CHF 250'000 treffen natürliche Personen, also Geschäftsführer und Verantwortliche persönlich. Das ist der Grund, warum das Thema in die Geschäftsleitung gehört — und in jedes Projekt, das Personendaten berührt.

Die fünf Pflichten, die Projekte betreffen

Praktisch relevant sind:

Informationspflicht: Wer Daten erhebt, informiert die Betroffenen (Datenschutzerklärung, Hinweis im Formular).
Bearbeitungsverzeichnis: Pflicht ab 250 Mitarbeitenden oder bei besonders schützenswerten Daten in grossem Umfang — sinnvoll für alle.
Privacy by Design und by Default: Datenschutz beim Aufsetzen eines Systems einplanen, Voreinstellungen datensparsam.
Datenpanne: Meldung an den EDÖB «so rasch als möglich», wenn ein hohes Risiko besteht.
Auskunft: Betroffene erhalten innert 30 Tagen Auskunft über ihre Daten — man muss sie also finden können.

Privacy by Design im Projekttool

Konkret bedeutet das: Rollen so setzen, dass Externe nur ihr Projekt sehen; Aufgabenkommentare ohne Personendaten Dritter; Gastzugänge mit Ablaufdatum; Export- und Löschfunktionen kennen, bevor man sie braucht. Flenio ist dafür gebaut — Workspaces, Bereiche und Projekte mit eigener Sichtbarkeit, Externe mit eingeschränktem Zugriff, Export jederzeit.

Kundenprojekte: Wer ist verantwortlich?

Führt eine Agentur ein Projekt für einen Kunden und verarbeitet dabei dessen Kundendaten, ist die Agentur Auftragsbearbeiterin — es braucht einen Vertrag. Verwaltet sie nur ihre eigenen Projektdaten (Ansprechpartner, Aufgaben), ist sie Verantwortliche. Die meisten Agenturen sind beides; wichtig ist, für jedes Projekt zu wissen, welche Rolle gilt.

Häufige Fragen

Brauche ich einen Datenschutzberater?

Nicht vorgeschrieben für Private. Sinnvoll ist eine benannte Person, die den Überblick hat — in KMU oft der Geschäftsführer oder die Assistenz mit Schulung.

Gilt die DSGVO zusätzlich?

Wenn Kunden oder Nutzer in der EU sitzen und angesprochen werden: ja. Wer beide Gesetze erfüllt, macht meist wenig Doppeltes — die Prinzipien sind gleich, die DSGVO ist in Formalien strenger.

Was ist mit Daten aus der Zeit vor 2023?

Das revDSG gilt auch für bestehende Bearbeitungen. Alte Datenbestände ohne Zweck sind ein Löschkandidat — das ist die einfachste Compliance-Massnahme.