revDSG: das Wichtigste für Schweizer KMU

Seit dem 1. September 2023 gilt das revidierte Bundesgesetz über den Datenschutz (revDSG) für alle Unternehmen, die in der Schweiz Personendaten bearbeiten, unabhängig von ihrer Grösse. Kundendatei, Personaldossiers, E-Mails, Website: Praktisch jedes KMU ist betroffen.

Dieser Artikel fasst das Wichtigste zusammen und nennt konkrete Massnahmen. Er ersetzt keine Rechtsberatung.

Was sich geändert hat

Geschützt sind nur noch Daten natürlicher Personen; Daten von Unternehmen fallen nicht mehr unter das Gesetz.
Genetische und biometrische Daten gehören neu zu den besonders schützenswerten Daten, neben unter anderem Gesundheitsdaten.
Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen wird Pflicht: Standardmässig müssen die datenschutzfreundlichsten Einstellungen gelten.
Die Sanktionen richten sich gegen die verantwortlichen Personen: Bei vorsätzlicher Verletzung bestimmter Pflichten drohen Bussen bis zu 250 000 Franken.

Die wichtigsten Pflichten für ein KMU

Informieren: Betroffene Personen müssen über die Beschaffung ihrer Daten informiert werden, insbesondere mit einer Datenschutzerklärung.
Absichern: Gefordert sind technische und organisatorische Massnahmen, die dem Risiko angemessen sind (Zugriffe, Passwörter, Backups, Updates).
Auftragsbearbeiter einbinden: Hoster, Cloud-Anbieter, Treuhänder oder IT-Dienstleister müssen durch einen Vertrag gebunden sein, der den Datenschutz gewährleistet.
Auskunft erteilen: Jede Person kann Auskunft über ihre Daten verlangen; die Antwort muss grundsätzlich innert 30 Tagen erfolgen.
Verletzungen melden: Eine Verletzung der Datensicherheit mit hohem Risiko muss so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.
Risiken abschätzen: Vor jeder Bearbeitung, die ein hohes Risiko mit sich bringen kann, ist eine Datenschutz-Folgenabschätzung nötig.
Ein Verzeichnis der Bearbeitungstätigkeiten führen: Unternehmen mit weniger als 250 Mitarbeitenden sind grundsätzlich davon befreit, ausser sie bearbeiten in grossem Umfang besonders schützenswerte Daten oder führen ein Profiling mit hohem Risiko durch.

Sonderfall Gesundheitsdaten

Arztpraxen, Radiologiezentren, Physiotherapien, Labors: Gesundheitsdaten sind besonders schützenswerte Daten. Die Sicherheitsanforderungen sind höher, und die Befreiung vom Verzeichnis gilt möglicherweise nicht. In diesem Bereich ist Datenschutz ebenso eine Frage der IT-Infrastruktur wie der Dokumentation.

Datenübermittlung ins Ausland

Ein Cloud-Dienst mit Hosting ausserhalb der Schweiz ist möglich, aber geregelt: Das Zielland muss gemäss der Liste des Bundesrates einen angemessenen Schutz bieten, oder es braucht vertragliche Garantien. Die USA gelten nur für Unternehmen als angemessen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Bevor Sie einen Anbieter wählen, sollten Sie wissen, wo Ihre Daten gespeichert werden und wer darauf zugreifen kann.

Wo anfangen?

Die bearbeiteten Personendaten erfassen: welche Daten, wo, wofür und bei welchen Dienstleistern.
Eine verständliche Datenschutzerklärung auf Ihrer Website veröffentlichen.
Die Verträge mit Ihren IT-Auftragsbearbeitern prüfen.
Die Sicherheitsgrundlagen kontrollieren: Zwei-Faktor-Authentifizierung, getestete Backups, Updates, Zugriffsrechte.
Ein Vorgehen für Datenschutzverletzungen festlegen: Wer entscheidet, wer meldet, innert welcher Frist.
Die Mitarbeitenden sensibilisieren: Sie bleiben die erste Verteidigungslinie.

Fazit

Das revDSG verlangt nicht, aus einem KMU eine Verwaltung zu machen. Es verlangt, dass Sie wissen, welche Daten Sie bearbeiten, sie angemessen schützen und das nachweisen können. Ein grosser Teil dieser Arbeit ist technisch, und genau da macht eine technische Leitung den Unterschied.