Datenschutz-Services

Datenschutz in der Schweiz – was brauchen KMU?

Datenschutz im Unternehmen ist für jedes KMU ein Muss. Die Pflichten der Unternehmen sind im revidierten Datenschutzgesetz der Schweiz (DSG, in Kraft seit 1.9.2023) festgehalten. Vor allem KMU, die mit besonders schützenswerten Personendaten arbeiten – etwa im Gesundheits- oder Treuhandbereich – müssen gewährleisten, dass sie alle datenschutzrechtlichen Vorgaben einhalten. Sonst drohen massive Bussen und Reputationsschäden.

Das sind die wichtigsten Pflichten von KMU – externe Spezialisten und Tools können Sie dabei unterstützen, diese umzusetzen:

• Ihr KMU benötigt eine Datenschutzdokumentation – auch Datenschutzhandbuch genannt –, die Auskunft gibt über alle Personendaten, die Sie bearbeiten, und über Ihre Massnahmen zum Schutz dieser Daten.
• KMU, die mit der EU geschäften oder Daten von Personen aus der EU erhalten und bearbeiten, müssen neben dem DSG der Schweiz auch die DSGVO (Datenschutz-Grundverordnung) der EU einhalten.
• Auf Ihrer Website müssen Sie eine gut auffindbare Datenschutzerklärungaufschalten, die insbesondere Auskunft gibt darüber, wie Sie Personendaten erheben und speichern, an wen Sie Daten weitergeben und wie lange die Daten auf Ihrem System bleiben.
• Immer wenn Sie Personendaten erheben, müssen Sie gut sichtbar darauf hinweisen und in gewissen Situationen – etwa bei der Anmeldung für Ihren Newsletter – die explizite Einwilligung der betroffenen Personen einholen.
• Sie müssen rasch Auskunft geben über die Personendaten, die bei Ihnen gespeichert sind, wenn eine betroffene Person dies verlangt.
• Sie sind nicht nur für die Sicherheit der Personendaten auf Ihrem System verantwortlich, sondern auch dafür, was mit den Daten bei von Ihnen beauftragten Drittfirmen passiert – etwa bei Ihrer Marketing-Agentur oder Ihrem IT-Dienstleister.
• Bei Nichteinhalten der Vorschriften drohen nicht nur massive Bussen von bis zu CHF 250’000, sondern auch Reputationsschäden.

Datenschutzkonforme Newsletter

Wenn Sie Newsletter verschicken – und das tun fast alle KMU –, müssen diese den Vorschriften des Datenschutz- und Fernmeldegesetzes sowie den Regeln der EU entsprechen. Sonst riskieren Sie hohe Bussen.

Der wichtigste Punkt: Sie müssen Ihre Kundinnen und Kunden informieren, was mit den eingegebenen Daten geschieht – bevor Sie zum Beispiel Kontaktdaten erheben. Von Vorteil ist zudem das Double-Opt-in-Verfahren: Wenn sich ein Kunde für Ihren Newsletter anmeldet, erhält er zuerst eine Mail mit einem Link, den er anklicken muss, um die Anmeldung zu bestätigen. Es empfiehlt sich auch, von Newsletter-Adressaten, die Sie ohne Double-Opt-in gesammelt haben, eine nachträgliche Bestätigung einzuholen.

Auch in Ihrer Datenschutzerklärung sollten Sie Ihren Newsletter erwähnen und die Kunden informieren, wenn Sie zum Beispiel für den Versand mit einer Drittfirma zusammenarbeiten.

Wie finden KMU den richtigen Datenschutz-Service?

Datenschutz ist Chefsache. Doch welcher Chef, welche Geschäftsinhaberin hat Zeit, sich in die komplexe Materie einzuarbeiten? Unterstützung erhalten Sie von verschiedenen Dienstleistern: 

• Datenschutzexperten, zum Beispiel zertifizierter Datenschutzberater, Datenschutzkoordinatorin
  • Beratung
  • Überprüfung von Datenschutzmassnahmen
  • Hilfe bei einem Datensicherheitsvorfall (Data Breach Notification)
  • Unterstützung beim Erarbeiten der Datenschutzdokumentation
  • Schulung von Mitarbeitenden
• IT-Services-Provider
  • Bereitstellen der technischen Voraussetzungen für effizienten Datenschutz
  • Beratung und Unterstützung zum Datenschutz
• Treuhänder und Steuerberaterinnen, die sich im Bereich Datenschutz weitergebildet haben
  • Beratung, zum Beispiel bei der Umsetzung von Datenschutzmassnahmen
• Auf Datenschutz spezialisierte Anwältinnen und Anwälte
  • Beratung
  • Analyse von Datenschutz-Risiken
  • Kontrolle von Datenschutzerklärungen und Websites

Datenschutzdokumentation – welche Vorteile bringt ein Datenschutz-Tool?

Mit dem Datenschutz-Tool unseres Partners sind Sie sicher, dass bei der Erstellung Ihrer Datenschutzdokumentation nichts vergessen geht und dass Sie in allen Bereichen die nötigen Massnahmen initiieren. Das Tool eignet sich für jede Art von Betrieb – zum Beispiel für:

• Immobilienverwaltungen, die für die Organisation von Mieteinnahmen, Mahnungen etc. die Daten der Mieterinnen und Mieter speichern
• Restaurants, Velohändler und andere Betriebe, die regelmässig Newsletter an ihre Kunden verschicken
• Therapeutische Praxen, die mit besonders schützenswerten Personendaten zu tun haben
• Produzierende Betriebe, die in die EU liefern oder Materialien aus EU-Ländern beziehen
• Treuhandbüros, die die Buchhaltung ihrer Kunden führen
• Marketing-Agenturen, die für ihre Kunden das Bestellverhalten auf deren Website tracken
• IT-Unternehmen, die IT-Services sowie Hosting anbieten

Das sind die Vorteile des Online-Datenschutz-Tools:

• Einfache Bedienung
• Schritt-für-Schritt-Anleitung mit Erklärungen zu den einzelnen Aufgaben
• Hinweise zu den Datenschutzmassnahmen für Ihr KMU
• Alle notwendigen Schritte sowohl für das DSG der Schweiz als auch für die DSGVO der EU
• Vorlagen und Beispiele von Dokumenten
• Cloudbasierte Lösung, die keine Installation vor Ort erfordert
• Regelmässige Aktualisierungen der Gesetzesgrundlagen im Tool

Das Datenschutz-Tool hilft Ihnen, Lücken in Ihren Datenschutzmassnahmen zu erkennen und zu schliessen. Sie – oder jemand von Ihren Mitarbeitenden – können damit die Datenschutzdokumentation für Ihr KMU Stück für Stück selbstständig erstellen. Der Arbeitsfortschritt wird gesichert, sodass Sie auch in mehreren Sessionen daran arbeiten können.

Unterstützung bei der Arbeit mit dem Datenschutz-Tool

Mit dem Datenschutz-Tool unseres Partners sind Sie in der Lage, Ihre Datenschutzdokumentation Schritt für Schritt selbst zu erstellen. Sie möchten den Aufwand reduzieren und gleichzeitig sicher sein, dass alles korrekt erstellt ist? Dann sichern Sie sich für den ganzen Erstellungsprozess die Begleitung eines Datenschutzexperten.

Kreuzen Sie im Bedarfs-Check die Option «Datenschutz-Tool mit Begleitung» an, um von diesen Vorteilen zu profitieren:

• Überprüfung Ihrer Datenschutzprozesse
• Erstellung Ihrer Datenschutzdokumentation gemeinsam mit einem Experten
• Prüfung der Daten-Bearbeitungstätigkeiten und der Datenschutzfolgeabschätzungen
• Schulung Ihrer Mitarbeitenden

Regelmässige Updates Ihres Datenschutzes

Das Datenschutzgesetz der Schweiz erwartet von den Verantwortlichen im Unternehmen, dass sie ihre Datenschutzmassnahmen mindestens einmal pro Jahr prüfen und wenn nötig anpassen. Auch die Dokumentation muss in regelmässigen Abständen aktualisiert werden. Anpassungen werden zum Beispiel nötig, wenn Sie mit neuen Dienstleistern zusammenarbeiten, denen Sie auch Personendaten weiterleiten, oder wenn Sie für eine neue Aktivität neue Kundendaten erheben. Auch Änderungen der gesetzlichen Vorschriften können Anpassungen nach sich ziehen.

Mit welchen Kosten muss man für Datenschutz-Services rechnen?

Welche Kosten Sie für Datenschutz-Services budgetieren müssen, hängt einerseits davon ab, welche Art Service Sie beanspruchen, und andererseits von Ihrer Eigenleistung. Hier einige Richtpreise:

• Beratung: je nach Anbieter und Thema CHF 180 bis CHF 280 pro Stunde
• Prüfung einer Datenschutzerklärung: ca. CHF 280, abhängig vom Aufwand
• Datenschutz-Tool: CHF 225/Monat (DSG) respektive CHF 275/Monat (DSG und DSGVO)
• Experten-Begleitung zum Datenschutz-Tool: CHF 1'850 einmalig (zusätzlich zur Gebühr für das Tool)
• Schulung zum/r Datenschutzkoordinator/-in: CHF 1'290 (inklusive Lehrmittel)

Wie können Mitarbeitende als Datenschutzverantwortliche geschult werden?

Ohne ein gewisses Know-how zum Datenschutz wird die Geschäftstätigkeit riskanter. Denn das Datenschutzgesetz der Schweiz sieht drastische Strafen vor.

Viele KMU verlassen sich auf externe Unterstützung und Beratung, zum Beispiel durch einen Datenschutzexperten, eine spezialisierte Anwältin oder ihren Treuhänder. Doch es kann sich durchaus lohnen, das notwendige Datenschutzwissen ins Unternehmen zu holen. Es hängt von der Grösse Ihres KMU – und von Ihrem Interesse ab –, ob Sie als Chef oder Inhaberin sich selbst darum kümmern oder jemanden von Ihren Mitarbeitenden zum Datenschutzverantwortlichen für Ihr KMU ausbilden lassen.

Lehrgang für interne Datenschutzverantwortliche

Auf dem Markt gibt es ganz unterschiedliche Schulungsangebote – vom kurzen Einstiegs-Webinar bis zum CAS-Lehrgang an Fachhochschulen. Unsere KMU-Einkaufsexperten vermitteln Ihnen einen Lehrgang, der sich speziell für interne Datenschutzverantwortliche eignet. Ihre Mitarbeitenden erhalten in fünf Modulen das Fachwissen vermittelt, das sie für ihre Aufgaben benötigen.

Lehrgang zum Datenschutzberater

Sind Sie als IT-Dienstleister aktiv? Oder sind Sie als Treuhänderin, Steuerberater, Immobilienverwalterin tätig und möchten Ihre Kunden künftig auch bei Datenschutzfragen begleiten? Dann ist der umfassende Lehrgang zum Datenschutzberater richtig für Sie. In zehn Modulen erwerben Sie das Wissen, das Sie benötigen, um für Ihre Kunden der verlässliche Ansprechpartner im praktischen Datenschutzalltag zu sein. Der Lehrgang schliesst mit einem Zertifikat ab.

Auch diesen Lehrgang vermitteln Ihnen unsere KMU-Einkaufsexperten. Kreuzen Sie einfach im Bedarfs-Check an, dass Sie sich dafür interessieren.

Wer hilft beim Erstellen einer korrekten Datenschutzerklärung in der Schweiz?

Ein KMU, das mit einer eigenen Site im Web präsent ist, hat in der Regel auch eine Datenschutzerklärung. Doch genügt diese den Vorgaben im neuen Datenschutzgesetz der Schweiz und ist sie auf der Website einfach zu finden? Es gibt Dienstleister (Versicherungen, Datenschutzexperten), die Ihre aktuelle Datenschutzerklärung überprüfen und Ihnen helfen, sie an die neuen Vorschriften anzupassen oder gleich eine neue Datenschutzerklärung zu erstellen.

Was passiert bei einem Verstoss gegen das Datenschutzgesetz?

Die Sanktionen im neuen Datenschutzgesetz der Schweiz sind deutlich höher als bisher. Verhängt werden können Bussen von bis zu CHF 250'000. Geahndet werden zum Beispiel:

• Verletzung der Informationspflicht – zum Beispiel das Sammeln von Personendaten, ohne die Betroffenen darüber zu informieren
• Verletzung der Auskunftspflicht – insbesondere die Weigerung, einer betroffenen Person Auskunft über die zu ihr gesammelten Daten zu erteilen
• Verletzung der beruflichen Schweigepflicht – also das Weitergeben von geheimen Personendaten, die man im Rahmen der beruflichen Tätigkeit erhalten hat
• Verletzung der Sorgfaltspflicht – etwa das Weitergeben von Daten zur Bearbeitung an Dritte, ohne abzuklären, ob diese die Datenschutzbestimmungen einhalten

Die Sanktionen treffen die verantwortliche Person, nicht etwa das Unternehmen. Klar ist dabei aber, dass nicht der kleine Angestellte, der etwas verbockt hat, zur Rechenschaft gezogen wird, sondern die Person, die gemäss der internen Organisation für den Datenschutz im Unternehmen verantwortlich ist. In einem kleineren KMU wird das in der Regel der Inhaber, die Inhaberin sein.

Auch Verstösse gegen die DSGVO der EU werden geahndet. Die Sanktionen reichen von vorübergehenden oder dauerhaften Beschränkungen der Datenbearbeitung bis zu Geldbussen von maximal 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Anders als im DSG der Schweiz richten sich die Sanktionen der DSGVO gegen die Unternehmen.

Autorin: Käthi Zeugin