Datenschutz für KMU: das Wichtigste in der Praxis

Das DSG gilt für alle privaten Unternehmen, unabhängig von ihrer Grösse – vom Coiffeursalon über die Arztpraxis bis zum Online-Shop. Für Sie als Kundin oder Kunde heisst das: Auch gegenüber einem kleinen Betrieb haben Sie dieselben Rechte. Für KMU gibt es einige Erleichterungen, aber keine generelle Ausnahme.

Wo KMU entlastet werden

• Verzeichnis der Bearbeitungstätigkeiten: Unternehmen mit weniger als 250 Mitarbeitenden müssen keines führen, solange sie weder umfangreich besonders schützenswerte Daten bearbeiten noch ein Profiling mit hohem Risiko durchführen (Art. 12 DSG, Art. 24 DSV).
• Datenschutzberater: Die Ernennung ist freiwillig (Art. 10).
• Folgenabschätzung und Meldepflicht greifen nur bei hohem Risiko (Art. 22 und 24).

Ein pragmatisches Vorgehen in neun Schritten

1. Überblick verschaffen: Welche Personendaten haben wir, wo liegen sie, wer hat Zugriff?
2. Datenschutzerklärung erstellen oder aktualisieren (Art. 19).
3. Dienstleister prüfen: Treuhand, IT-Support, Cloud oder Newsletter-Tool sind meist Auftragsbearbeiter; die Zusammenarbeit muss die Anforderungen von Art. 9 erfüllen.
4. Auslandtransfers klären: In welchen Staaten liegen die Daten, und sind die Voraussetzungen von Art. 16 und 17 erfüllt?
5. Grundschutz umsetzen: starke Passwörter, Zwei-Faktor-Authentifizierung, Updates, Backups, verschlüsselte Geräte (Art. 8).
6. Auskunftsgesuche einplanen: Wer beantwortet sie innert 30 Tagen?
7. Notfallplan für Datenpannen: Wer entscheidet über eine Meldung an den EDÖB?
8. Löschkonzept: Daten löschen, sobald sie nicht mehr nötig sind (Art. 6 Abs. 4) – unter Beachtung gesetzlicher Aufbewahrungspflichten, etwa zehn Jahre für Geschäftsbücher und Buchungsbelege (Art. 958f OR).
9. Werbung prüfen: Newsletter nur mit Einwilligung oder im Rahmen der Kundenausnahme des UWG (siehe Teil 6).

Häufige Stolpersteine

• Kopierte Datenschutzerklärungen, die nicht zur eigenen Praxis passen.
• Mitarbeitende nutzen private Messenger oder Cloud-Dienste für Kundendaten.
• Fehlende Zuständigkeit, wenn ein Auskunftsgesuch eintrifft.

Datenschutz muss für ein KMU nicht teuer sein. Entscheidend ist, die eigenen Datenflüsse zu kennen und die Grundsätze von Art. 6 im Alltag umzusetzen.

Mehr Hinweise für Betriebe finden Sie im Bereich Für Unternehmen.