Datenschutzgesetz (DSG) 2026: Was Ihr KMU wissen muss

Das revidierte Datenschutzgesetz (DSG) ist am 1. September 2023 in Kraft getreten. Mehr als 18 Monate später haben viele Schweizer KMU immer noch nicht die nötigen Massnahmen ergriffen. aus Mangel an Information, aus Verwechslung mit der europäischen DSGVO oder weil die Pflichten abstrakt erscheinen. Hier ist, was das Gesetz konkret verlangt.

Was sich geändert hat

Das alte DSG stammte von 1992. Es war der Realität einer digitalen Wirtschaft weitgehend nicht mehr gewachsen. Die Revision von 2023 bringt die Schweiz auf die europäischen Standards (DSGVO) und behält dabei Schweizer Besonderheiten bei. Die wichtigsten Änderungen:

• Privacy by Design und by Default: Pflicht, den Datenschutz von der Konzeption der Systeme an zu integrieren, nicht als Option
• Obligatorische Meldung von Verletzungen: jede Verletzung, die ein hohes Risiko darstellt, muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) "so rasch als möglich" gemeldet werden
• Verzeichnis der Bearbeitungstätigkeiten: obligatorisch für Unternehmen, deren Bearbeitungen ein hohes Risiko für die betroffenen Personen darstellen
• Datenschutz-Folgenabschätzung (DSFA): erforderlich für Bearbeitungen, die ein hohes Risiko für die betroffenen Personen mit sich bringen können
• Recht auf Datenübertragbarkeit: natürliche Personen können ihre Daten in einem maschinenlesbaren Format verlangen
• Persönliche Verantwortung: die Sanktionen können die verantwortlichen natürlichen Personen treffen (Geschäftsleitung, Datenschutzberater)

Wer betroffen ist

Das Datenschutzgesetz (DSG) gilt für jede Organisation, die Personendaten natürlicher Personen in der Schweiz bearbeitet. unabhängig von ihrer Grösse. Es gibt keine Ausnahme für Kleinstunternehmen oder Selbstständige.

In der Praxis betrifft Sie das Datenschutzgesetz (DSG), sobald Sie Mitarbeitende, Kunden oder Lieferanten als natürliche Personen haben, über die Sie Informationen speichern (Name, Adresse, E-Mail, Gesundheitsdaten, Bankdaten, Kaufhistorie usw.).

Wenn Sie Kunden in der Europäischen Union haben, gilt die DSGVO parallel. Die beiden Texte haben ähnliche, aber nicht identische Anforderungen. insbesondere bei den Fristen für die Meldung eines Vorfalls (72 Stunden bei der DSGVO, "so rasch als möglich" beim DSG) und bei bestimmten Definitionen.

Was Sie umsetzen müssen

1. Inventar der Personendaten

Erste obligatorische Etappe: genau zu wissen, welche Personendaten Sie bearbeiten, wo sie gespeichert sind, wer Zugriff darauf hat, zu welchem Zweck und für wie lange. Dieses Inventar nimmt die Form eines Verzeichnisses der Bearbeitungstätigkeiten an.

Für ein typisches KMU umfasst dieses Verzeichnis: die Daten der Mitarbeitenden (HR, Löhne, Absenzen), die Daten der Kunden (Kontaktdaten, Geschäftshistorie, Zahlungsdaten), die Daten der Lieferanten und die von Ihrer Website stammenden Daten (Formulare, allfällige Statistiken).

2. Aktuelle Datenschutzerklärung

Ihre Website muss eine Datenschutzerklärung anzeigen, die die Besucher über die erhobenen Daten, die Bearbeitungszwecke, die allfälligen Empfänger, die Aufbewahrungsdauer und ihre Rechte (Auskunft, Berichtigung, Löschung, Übertragbarkeit) informiert.

Wenn Ihre Erklärung von vor 2023 stammt oder automatisch ohne Überlegung generiert wurde, ist sie wahrscheinlich unzureichend.

3. Verträge mit Ihren Auftragsbearbeitern

Wenn Sie Personendaten an Dienstleister weitergeben (Treuhänder, HR-Agentur, Webhoster, Cloud-CRM usw.), müssen Sie mit ihnen einen Auftragsbearbeitungsvertrag haben, der die Bearbeitungsbedingungen, die Sicherheitsmassnahmen und die Pflichten im Falle einer Verletzung festlegt.

Zu beachten: wenn Ihr Dienstleister ausserhalb der Schweiz in einem Land ohne von der Schweiz anerkanntes angemessenes Schutzniveau ansässig ist, sind zusätzliche Garantien erforderlich (Standardvertragsklauseln, verbindliche Unternehmensregeln usw.).

4. Verfahren zur Reaktion auf Datenschutzverletzungen

Im Falle einer Verletzung (Leck, Hackerangriff, Verlust eines Laptops mit unverschlüsselten Daten) müssen Sie in der Lage sein, das Risiko für die betroffenen Personen rasch zu bewerten und den EDÖB zu benachrichtigen, wenn dieses Risiko hoch ist.

Das setzt ein dokumentiertes internes Verfahren voraus: wer für die Bewertung verantwortlich ist, wie der EDÖB informiert wird, wie die betroffenen Personen bei Bedarf kontaktiert werden.

5. Technische und organisatorische Sicherheitsmassnahmen

Das Datenschutzgesetz (DSG) verlangt "angemessene Sicherheitsmassnahmen", ohne sie genau aufzulisten. das ist bewusst allgemein gehalten, um sich an alle Kontexte anzupassen. In der Praxis wird erwartet:

• Verschlüsselung sensibler Daten (bei der Übertragung und im Ruhezustand)
• Zugriffskontrolle (Prinzip der geringsten Berechtigung)
• Protokollierung der Zugriffe auf sensible Daten
• Regelmässige und getestete Backups
• Vorfallmanagement
• Schulung der Mitarbeitenden in den Grundlagen des Datenschutzes

Die Sanktionen

Im Gegensatz zur DSGVO (Sanktionen gegen das Unternehmen von bis zu 4 % des weltweiten Umsatzes) bestraft das Schweizer Datenschutzgesetz (DSG) die für vorsätzliche Zuwiderhandlungen verantwortlichen natürlichen Personen. Die Bussen können 250 000 CHF pro Zuwiderhandlung erreichen.

Zu den erfassten Zuwiderhandlungen gehören insbesondere: die Missachtung der Informationspflichten, die Weigerung, die Daten einer Person, die danach verlangt, mitzuteilen, die unbefugte Bekanntgabe von Daten und die Verletzung der Meldepflichten.

In der Praxis waren die ersten Anwendungsjahre von einem pädagogischen Ansatz des EDÖB geprägt. Doch der Regulator hat klar signalisiert, dass er bei anhaltender Nichtkonformität oder erheblichen Verletzungen direktiver eingreifen wird.

Wo anfangen

Wenn Sie noch nichts getan haben, beginnen Sie mit dem Dateninventar: listen Sie alle Orte auf, an denen Personendaten in Ihrem Unternehmen gespeichert sind (Software, Server, Computer, Cloud-Dienste). Das ist die Grundlage für alles Weitere.

Lassen Sie anschliessend Ihre Datenschutzerklärung und Ihre Auftragsbearbeitungsverträge von einem kompetenten Berater gegenlesen. Das ist nicht zwingend ein spezialisierter Anwalt. ein guter IT-Berater mit Compliance-Expertise kann viel von dieser Arbeit zu einem angemessenen Preis erledigen. Das ist Gegenstand unseres DSG-Audits für KMU, das Ihre Personendaten kartiert und einen dokumentierten Aktionsplan erstellt.