nDSG-Checkliste für Schweizer KMUs: Was die Revision 2023 wirklich bedeutet

Die revidierte schweizerische Datenschutzverordnung (nDSG) gilt seit dem 1. September 2023. Für viele KMUs ist sie ein Schreckgespenst geworden, meist zu Unrecht. Wer DSGVO-konform aufgestellt ist, hat den grössten Teil der Arbeit bereits erledigt. Die nDSG ist pragmatischer als ihr EU-Pendant, aber sie bringt drei konkrete Anforderungen, die oft übersehen werden.

Wo sich nDSG und DSGVO unterscheiden#

Beide Gesetze verfolgen dasselbe Ziel, setzen aber unterschiedliche Schwerpunkte:

• Die nDSG kennt keine allgemeine Meldepflicht für Verarbeitungstätigkeiten (kein "Verzeichnis" wie in Art. 30 DSGVO für Unternehmen unter 250 Mitarbeitenden).
• Es gibt kein Opt-in für Cookies per Gesetz. Relevant wird das aber, sobald du Profilbildung betreibst oder Personendaten ins Ausland übermittelst.
• Datenschutz-Folgenabschätzungen (DSFA) sind nur bei hohem Risiko Pflicht, nicht standardmässig.

Für die meisten KMUs bedeutet das: weniger Formalismus, aber dieselben Sorgfaltspflichten.

Die Drei-Punkte-Checkliste#

1. Informationspflicht erfüllen#

Du musst transparent machen, welche Daten du erhebst und wozu. Konkret:

• Eine aktuelle Datenschutzerklärung auf der Website
• Angaben zu Empfängern, Speicherdauer und Rechten der Betroffenen
• Kontaktstelle für Auskunftsbegehren

2. Auftragsverarbeitung dokumentieren#

Jeder externe Dienstleister, der Personendaten für dich verarbeitet (Google Analytics, Mailchimp, dein CRM, dein Hosting), braucht einen Auftragsverarbeitungsvertrag (AVV). Die Schweiz akzeptiert weiterhin die EU-Standardvertragsklauseln (SCCs) für den Datenexport.

3. Datensicherheit technisch und organisatorisch gewährleisten#

Art. 8 nDSG verlangt angemessene Sicherheitsmassnahmen. Das heisst in der Praxis:

• Verschlüsselung im Transit (HTTPS, TLS)
• Zugriffskontrolle und rollenbasierte Berechtigungen
• Backup-Strategie mit Wiederherstellungstest
• Schulung für Mitarbeitende, die mit Personendaten arbeiten

Was oft vergessen wird#

Drei Punkte, die regelmässig zu Problemen führen:

1. Sub-Processors bei US-Diensten. Wenn dein Tracking auf einen US-Dienst zugreift, prüfe, ob das Data Privacy Framework greift und ob der Dienstleister darunter zertifiziert ist.
2. Bewerbungsunterlagen. Lebensläufe enthalten Personendaten. Eine dokumentierte Löschfrist (z. B. 6 Monate nach Absage) schützt vor unnötigem Datenbestand.
3. Data-Breach-Reaktionsplan. Nach Art. 24 DSG muss der Verantwortliche dem EDÖB eine Datensicherheitsverletzung so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt. Das Schweizer DSG nennt dafür keine pauschale 72-Stunden-Frist. Der EDÖB-Leitfaden erklärt Risikoanalyse, Meldung und Information der Betroffenen.

Unser Ansatz#

Bei jedem Projekt legen wir die Verarbeitungen offen und dokumentieren, wo Daten liegen; Vertrags- und Informationspflichten werden pro Anbieter und Rolle geprüft. Wer nach Swiss Hosting sucht, findet bei uns Infrastruktur in der Schweiz. Gleichzeitig sagen wir klar, wann ein Schweizer Hosting keinen Mehrwert bringt und nur Kosten verursacht. Beim Tracking schafft ein System für Attribution und Tracking mehr technische Kontrolle, ersetzt aber weder Consent noch die rechtliche Beurteilung des konkreten Setups.

Die nDSG ist kein Grund zur Panik. Sie ist ein Grund, Ordnung in deine Datenverarbeitung zu bringen, und das zahlt sich doppelt aus: weniger Risiko, weniger Komplexität, klarere Prozesse.