Kein Punkt des revidierten Datenschutzgesetzes hat in Kleinbetrieben mehr Unruhe ausgelöst als dieser, und kaum einer trifft weniger Unternehmen. Die Pflicht steht im Gesetz, die Ausnahme in der Verordnung dazu. Wer die Verordnung nicht liest, kauft sich eine Vorlage für eine Pflicht, die er nicht hat.
Wer führen muss und wer befreit ist
Der Grundsatz in DSG Art. 12 Abs. 1 ist einfach: Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis. Die Ausnahme in Art. 24 der Datenschutzverordnung dreht das für fast alle um.
- Befreit sind Unternehmen und andere privatrechtliche Organisationen mit weniger als 250 Mitarbeiterinnen und Mitarbeitern am 1. Januar eines Jahres, dazu natürliche Personen.
- Nicht befreit ist, wer besonders schützenswerte Personendaten in grossem Umfang bearbeitet. Gemeint sind Gesundheitsdaten, biometrische Daten, Daten über Strafverfolgungen und die übrigen Gruppen nach DSG Art. 5 Bst. c.
- Nicht befreit ist auch, wer ein Profiling mit hohem Risiko durchführt, also Daten so verknüpft, dass sich wesentliche Aspekte einer Persönlichkeit beurteilen lassen.
Acht Arztzeugnisse im Personaldossier sind kein grosser Umfang. Ein Malerbetrieb, eine Reinigungsfirma oder ein IT-Dienstleister mit wenigen Leuten braucht darum in aller Regel kein Verzeichnis. Anders sieht es aus, wo Gesundheitsdaten zum Geschäft gehören: bei einer Spitex-Organisation, einer Physiotherapiepraxis oder einem Betrieb, der systematisch Personendaten auswertet. Dort gehört die Frage einmal geprüft und die Antwort festgehalten.
Was im Verzeichnis stehen muss
DSG Art. 12 Abs. 2 zählt sieben Angaben auf. Das Verzeichnis beschreibt Tätigkeiten, nicht einzelne Personen: eine Zeile für die Kundenverwaltung, eine für die Personaladministration, eine für die Zeiterfassung.
| Angabe nach Art. 12 Abs. 2 | So sieht sie im Betrieb aus |
|---|---|
| Identität des Verantwortlichen | Firma, Adresse, Kontaktstelle für Datenschutzfragen |
| Bearbeitungszweck | «Offerten, Aufträge, Rechnungen und Garantiefälle abwickeln» |
| Kategorien betroffener Personen und bearbeiteter Daten | «Kundinnen und Kunden: Name, Adresse, Telefon, Mail, Auftragsverlauf, Zahlungen» |
| Kategorien der Empfängerinnen und Empfänger | «Treuhandstelle, Softwareanbieter, Subunternehmer, bei Verzug das Betreibungsamt» |
| Aufbewahrungsdauer oder die Kriterien dafür | «Belege zehn Jahre nach OR Art. 958f, Offerten ohne Auftrag zwei Jahre» |
| Allgemeine Beschreibung der Massnahmen zur Datensicherheit | «Rollen und Passwörter, Zwei-Faktor-Anmeldung, verschlüsselte Sicherung» |
| Bei Bekanntgabe ins Ausland: Staat und Garantien nach Art. 16 Abs. 2 | «Serverstandort des Anbieters, Standarddatenschutzklauseln» |
Das kürzere Verzeichnis des Auftragsbearbeiters
Wer Daten für andere bearbeitet, führt ein kürzeres Verzeichnis: Identität des Auftragsbearbeiters und des Verantwortlichen, die Kategorien der Bearbeitungen, die im Auftrag erfolgen, dazu die Angaben zur Datensicherheit und zur Bekanntgabe ins Ausland (Art. 12 Abs. 3). Die Befreiung nach DSV Art. 24 gilt auch hier. Was der Unterschied zwischen den beiden Rollen ist, steht unter Auftragsbearbeitung.
Beim EDÖB anmelden musst du nichts
Nur Bundesorgane melden ihre Verzeichnisse dem EDÖB (Art. 12 Abs. 4). Private Verantwortliche sind davon seit dem Inkrafttreten des revidierten Gesetzes am 1. September 2023 befreit; das Meldeportal DataReg steht ausdrücklich nur den Bundesorganen offen. Wer dir eine Anmeldung verkaufen will, verkauft dir nichts.
Warum sich zwei Seiten trotzdem lohnen
- Auskunftsbegehren. Verlangt jemand Auskunft, musst du in der Regel innert 30 Tagen und kostenlos antworten (DSG Art. 25). Mit einer Übersicht deiner Ablagen dauert das drei Stunden statt drei Tage.
- Datenpanne. Geht ein Notebook verloren, musst du beurteilen, welche Daten betroffen sind und ob ein hohes Risiko besteht (Art. 24). Ohne Übersicht rätst du.
- Anbieterwechsel. Die Liste zeigt, wo überall Kundendaten liegen: Software, Mailanbieter, Sicherung, Treuhandstelle. Genau diese Liste brauchst du auch für die Datenschutzerklärung.
- Löschen. Ohne festgehaltene Aufbewahrungsdauer löscht niemand je etwas, und das verlangt DSG Art. 6 Abs. 4.
Nicht dasselbe wie die Datenschutzerklärung
Die beiden werden oft verwechselt. Das Verzeichnis ist ein internes Papier, das du auf Verlangen der Aufsicht vorlegst. Die Datenschutzerklärung ist der öffentliche Text, mit dem du die Informationspflicht nach DSG Art. 19 erfüllst. Inhaltlich überschneiden sie sich stark, darum entsteht die Erklärung am einfachsten aus dem Verzeichnis. Was in die Erklärung gehört, steht im Ratgeber Das Datenschutzgesetz im Kleinbetrieb.
So macht es KIDESK
Für die Zeile «Software» in deinem Verzeichnis oder in deiner Datenschutzerklärung: Im Sinn des Gesetzes ist KIDESK Auftragsbearbeiterin, verantwortlich bleibst du. Die Datenbank steht in Frankfurt, die Spracherkennung läuft in Zürich. Bearbeitet werden Kunden-, Auftrags-, Rechnungs- und Belegdaten sowie die Stunden deiner Mitarbeitenden. Jede Person im Betrieb hat eine Rolle und sieht nur, was dazugehört; am einzelnen Beleg steht, wer was wann geändert hat. Deine Daten kannst du jederzeit selbst exportieren. Automatische Löschfristen je Datenart gibt es nicht: Was wann verschwindet, entscheidest du.
Auftragsbearbeitungsvertrag von KIDESK Sicherheit und Datenhaltung
Häufige Fragen
Muss ich als Einzelfirma mit vier Mitarbeitenden ein Bearbeitungsverzeichnis führen?
In aller Regel nicht. Befreit ist, wer am 1. Januar weniger als 250 Mitarbeitende beschäftigt (DSV Art. 24). Die Befreiung fällt nur weg, wenn du besonders schützenswerte Personendaten in grossem Umfang bearbeitest oder ein Profiling mit hohem Risiko betreibst. Beides trifft auf einen normalen Gewerbebetrieb nicht zu.
Wie lange muss ich ein Verzeichnis aufbewahren, wenn ich eines führe?
Das Gesetz nennt keine Frist. Sinnvoll ist, das Verzeichnis laufend aktuell zu halten und alte Fassungen mit Datum abzulegen, damit du belegen kannst, wie eine Bearbeitung zu einem bestimmten Zeitpunkt ausgesehen hat. Ein Blick pro Jahr, etwa beim Jahresabschluss, genügt im Kleinbetrieb.
Was heisst «besonders schützenswerte Daten in grossem Umfang»?
Das Gesetz sagt es nicht, und die Grenze ist Auslegungssache. Anhaltspunkte sind die Zahl der betroffenen Personen, die Menge und Vielfalt der Daten, die Dauer der Bearbeitung und die räumliche Reichweite. Personaldossiers eines Kleinbetriebs sind kein grosser Umfang, eine Kartei mit Gesundheitsdaten von tausend Klientinnen schon.
Reicht eine Excel-Tabelle als Verzeichnis?
Ja. Das Gesetz schreibt keine Form vor, nur den Inhalt nach Art. 12 Abs. 2. Eine Tabelle mit einer Zeile je Bearbeitungstätigkeit erfüllt die Anforderung, solange sie aktuell ist und du sie auf Verlangen vorlegen kannst. Wichtiger als das Werkzeug ist, dass jemand im Betrieb zuständig ist.
Quellen
- Datenschutzgesetz (DSG), Art. 12: Verzeichnis der Bearbeitungstätigkeiten
- Datenschutzverordnung (DSV), Art. 24: Ausnahme von der Pflicht zur Führung eines Verzeichnisses
- Datenschutzgesetz (DSG), Art. 19: Informationspflicht beim Beschaffen von Personendaten
- EDÖB: Meldeportale, mit DataReg nur für Bundesorgane
- KMU-Portal des Bundes: Datenschutz
Dieser Text ist eine allgemeine Information für Schweizer Unternehmen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Wenn dir ein Fehler auffällt, schreib uns, wir korrigieren ihn.
