Seit dem 1. September 2023 gilt das revidierte Schweizer Datenschutzgesetz (DSG). Was viele KMU-Inhaber noch nicht wissen: Die neuen Pflichten betreffen nicht nur Grossunternehmen.
Wer Kundendaten verarbeitet — und das tut praktisch jedes Unternehmen — ist betroffen.

Dieser Beitrag erklärt, was KMU konkret tun müssen, welche Fehler teuer werden können und was Datenschutz-Compliance kostet.

Was hat sich mit der DSG-Revision geändert?  

Das revidierte DSG orientiert sich stark an der europäischen DSGVO und bringt für Schweizer KMU mehrere neue Pflichten:  

Datenschutzerklärung
Jede Website, die Personendaten bearbeitet, braucht eine aktuelle, verständliche Datenschutzerklärung.  

Verzeichnis der Bearbeitungstätigkeiten
Unternehmen müssen dokumentieren, welche Personendaten sie wozu bearbeiten. Kleine Unternehmen mit weniger als 250 Mitarbeitenden sind unter Umständen ausgenommen — aber nicht automatisch.  

Meldepflicht bei Datenpannen
Verletzungen der Datensicherheit müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden, wenn sie zu einem hohen Risiko für die betroffenen Personen führen.  

Datenschutz durch Technik
Neue Systeme und Prozesse müssen von Anfang an datenschutzkonform gestaltet werden (Privacy by Design / Privacy by Default).  

Auftragsbearbeiterverträge
Wer externe Dienstleister einsetzt, die Personendaten verarbeiten — z. B. Cloud-Anbieter, CRM-Systeme, Lohnbuchhaltung — braucht schriftliche Verträge mit diesen.    

Typische Stolpersteine bei KMU  

⚠ Fehlende oder veraltete Datenschutzerklärung auf der Website 
Viele KMU haben noch Texte aus der Zeit vor der Revision — oder gar keine. Eine unvollständige Datenschutzerklärung ist eine der häufigsten und am einfachsten vermeidbaren Pflichtverletzungen.  

⚠ Keine Rechtsgrundlage für die Datenbearbeitung
Wer Kundendaten für Newsletter, Werbung oder Profilbildung nutzt, braucht eine klare Rechtsgrundlage — in der Regel eine Einwilligung oder ein überwiegendes berechtigtes Interesse.  

⚠ Fehlende Verträge mit externen Dienstleistern
Cloud-Speicher, Buchhaltungssoftware, E-Mail-Marketing-Tools — all diese Anbieter verarbeiten Personendaten im Auftrag des KMU. Ohne schriftlichen Auftragsbearbeitervertrag besteht eine Lücke.  

⚠ Unklare Prozesse bei Datenpannen
Was passiert, wenn Kundendaten gestohlen werden oder ein Mitarbeitender versehentlich eine falsche Datei verschickt? Wer intern nicht vorbereitet ist, verliert wertvolle Zeit — und riskiert, Meldefristen zu verpassen.  

⚠ Datentransfers ins Ausland
Wer Daten an Dienstleister ausserhalb der Schweiz oder der EU übermittelt, muss sicherstellen, dass ein angemessenes Schutzniveau besteht.    

Was droht bei Verstössen?  

✗ Bussen bis CHF 250'000
Das revidierte DSG sieht Bussen von bis zu CHF 250'000 vor — und richtet sich dabei gegen natürliche Personen, also konkret gegen die Geschäftsleitung oder verantwortliche Mitarbeitende, nicht nur gegen das Unternehmen.  

✗ Reputationsschäden
Datenpannen und Datenschutzverstösse werden zunehmend öffentlich. Der Vertrauensverlust bei Kunden kann langfristiger schaden als die Busse selbst.  

✗ Zivilrechtliche Ansprüche
Betroffene Personen können bei Datenschutzverletzungen Schadenersatz und Genugtuung verlangen.    

Was kostet Datenschutz-Compliance für KMU?
Das hängt vom Ausgangszustand ab. Wer bisher wenig unternommen hat, braucht mehr Aufwand.

Als Orientierung: 

• Datenschutzcheck / Gap-Analyse: CHF 500 – 1'500 
• Erstellung / Aktualisierung Datenschutzerklärung: CHF 300 – 800
• Auftragsbearbeiterverträge (pro Dienstleister): CHF 200 – 500
• Vollständiges Datenschutzkonzept inkl. Bearbeitungsverzeichnis: CHF 2'000 – 6'000
• Laufende Datenschutzberatung (monatlich): CHF 300 – 1'500  

✓ Tipp:
Wer Datenschutz einmalig sauber aufgleist, hat danach deutlich weniger Aufwand. Prävention ist günstiger als Schadensbegrenzung.    

DSG vs. DSGVO: Was gilt für Schweizer KMU?  

Schweizer KMU, die Produkte oder Dienstleistungen an Kunden in der EU anbieten oder das Verhalten von EU-Personen beobachten, können zusätzlich der europäischen DSGVO unterliegen — auch ohne Niederlassung in der EU. In diesem Fall gelten beide Regelwerke parallel.  

✓ Für rein lokal tätige KMU gilt in erster Linie das Schweizer DSG.

⚠ Wer EU-Kunden hat, sollte prüfen, ob auch die DSGVO anwendbar ist.    

Was KMU jetzt konkret tun sollten  

✓ Datenschutzerklärung auf der Website prüfen und aktualisieren 
✓ Liste der externen Dienstleister erstellen, die Daten verarbeiten 
✓ Auftragsbearbeiterverträge mit diesen Dienstleistern abschliessen 
✓ Internen Prozess für Datenpannen definieren (Wer meldet was, an wen, bis wann?) 
✓ Mitarbeitende sensibilisieren 
✓ Bei Unsicherheit: rechtliche Erstabklärung einholen    

Wie hilft LexAssist®?  

LexAssist® bringt KMU mit lizenzierten Anwälten zusammen, die auf Datenschutz und IT-Recht spezialisiert sind — zum Fixpreis, ohne Kostenunsicherheiten.  

Ob Sie eine Gap-Analyse benötigen, Ihre Datenschutzerklärung aktualisieren lassen möchten oder konkrete Fragen zur Meldepflicht haben: Starten Sie mit einer kostenlosen Erstabklärung.  

LexAssist®: Ihre externe Rechtsabteilung.

Wählen Sie jetzt das passende Paket: 

• Starter (Einstiegs-Paket für KMU): CHF 390.00
  
• Business (Paket für wachsende Unternehmen): CHF 790.00
  
• KMU-Abo (Monats-Abo für KMU - monatlich kündbar): CHF 1490.00
  

Jetzt anfragen → lexassist.ch/kontakt

Weiterführende Beiträge:

• → Recht im KMU-Alltag: Die wichtigsten Rechtsbereiche für Schweizer Unternehmen
  
• → Rechtsberatung KMU monatlich: Abo oder Einzelmandat?
  
• → Was kostet Rechtsberatung für KMU?
  

Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. LexAssist® vermittelt lizenzierte Partneranwälte für Ihre konkrete Situation.       

Zurück zur Übersicht