Datenschutzberater für KMU 2026: DSG-Pflichten, Folgenabschätzung und Datenpanne im Überblick

Ein KMU muss keinen Datenschutzberater ernennen: Nach Art. 10 Abs. 1 DSG können private Verantwortliche eine Datenschutzberaterin oder einen Datenschutzberater bestimmen, verpflichtet sind nur Bundesorgane (EDÖB). Pflicht sind dagegen für jedes Unternehmen Datensicherheit, Information der Betroffenen, Auskunft innert 30 Tagen und die Meldung schwerer Datenpannen. Das Verzeichnis der Bearbeitungstätigkeiten entfällt meist unter 250 Mitarbeitenden (Art. 24 DSV). Vorsätzliche Verstösse kosten die verantwortliche Person bis CHF 250 000 Busse (Art. 60–63 DSG).

Das Wesentliche

• Das revidierte Datenschutzgesetz gilt seit dem 1.9.2023 und schützt nur natürliche Personen, auch Ansprechpersonen von Firmenkunden (Art. 1, 2 und 74 DSG).
• Der Datenschutzberater ist freiwillig; wer ihn dem EDÖB meldet, darf bei hohem Restrisiko auf die Konsultation des EDÖB verzichten (Art. 10 und 23 Abs. 4 DSG).
• Das Verzeichnis der Bearbeitungstätigkeiten entfällt, wenn Sie am 1. Januar weniger als 250 Mitarbeitende beschäftigen, ausser bei sensiblen Daten in grossem Umfang oder Profiling mit hohem Risiko (Art. 24 DSV).
• Eine Datenschutz-Folgenabschätzung ist vor jeder Bearbeitung mit voraussichtlich hohem Risiko Pflicht und zwei Jahre nach deren Ende aufzubewahren (Art. 22 DSG, Art. 14 DSV).
• Datenpannen mit voraussichtlich hohem Risiko melden Sie dem EDÖB «so rasch als möglich», nicht innert 72 Stunden (Art. 24 DSG).
• Auskunftsbegehren beantworten Sie kostenlos innert 30 Tagen; bei unverhältnismässigem Aufwand ist eine Beteiligung von höchstens CHF 300 zulässig (Art. 18–19 DSV).
• Daten in die EU, nach Grossbritannien oder an zertifizierte US-Firmen dürfen ohne weitere Garantien fliessen; die Liste steht in Anhang 1 DSV.
• Bussen bis CHF 250 000 treffen die verantwortliche Person, das Unternehmen nur bis CHF 50 000 (Art. 64 DSG).

Pflichten auf einen Blick: wer, wann, welche Sanktion

Die Tabelle zeigt, welche Pflicht ein privates KMU trifft und was ein vorsätzlicher Verstoss kostet. Wo das DSG keine Busse vorsieht, kann der EDÖB Verwaltungsmassnahmen verfügen (Art. 51 DSG).

Quelle: Datenschutzgesetz SR 235.1 (Stand 7.7.2025) und Datenschutzverordnung SR 235.11 (Stand 1.12.2025).

Gilt das DSG für Ihr KMU?

Ja, sobald Sie Angaben über eine bestimmte oder bestimmbare natürliche Person bearbeiten (Art. 5 lit. a DSG). Das KMU-Portal des Bundes hält fest, dass alle Unternehmen in der Schweiz, KMU eingeschlossen, betroffen sind (KMU-Portal). Das Gesetz gilt auch für Sachverhalte, die im Ausland veranlasst werden, sich aber in der Schweiz auswirken (Art. 3 DSG).

Verantwortlicher oder Auftragsbearbeiter

Verantwortlich ist, wer über Zweck und Mittel der Bearbeitung entscheidet; Auftragsbearbeiter ist, wer im Auftrag bearbeitet (Art. 5 lit. j und k DSG). Ihr KMU ist Verantwortlicher für seine Kunden- und Personaldaten. Ihre Lohnsoftware, Ihr Cloud-Speicher und Ihr Treuhänder für die Buchhaltung sind in der Regel Auftragsbearbeiter. Die Unterscheidung bestimmt, wer informiert, wer Auskunft gibt und wer eine Panne dem EDÖB meldet.

Besonders schützenswerte Daten

Sechs Kategorien verlangen mehr Sorgfalt: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten; Gesundheit, Intimsphäre, Rasse oder Ethnie; genetische Daten; biometrische Daten zur eindeutigen Identifikation; verwaltungs- und strafrechtliche Verfolgungen; Massnahmen der sozialen Hilfe (Art. 5 lit. c DSG). Arztzeugnisse im Personaldossier fallen darunter. Für solche Daten braucht es, wo eine Einwilligung nötig ist, eine ausdrückliche Einwilligung (Art. 6 Abs. 7 DSG).

Grundsätze statt Einwilligung

Das DSG verlangt keine Einwilligung für jede Bearbeitung. Es verlangt Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, einen erkennbaren Zweck, richtige Daten und die Vernichtung oder Anonymisierung, sobald der Zweck erfüllt ist (Art. 6 DSG). Wie lange «nötig» ist, ergibt sich oft aus anderen Gesetzen: Der EDÖB nennt etwa zehn Jahre für Buchhaltungsunterlagen nach Art. 958f OR (EDÖB-FAQ).

Datenschutzberater: freiwillig, aber mit Vorteil

Die Datenschutzberaterin ist Anlaufstelle für Betroffene und Behörden, schult und berät das Unternehmen und wirkt bei der Anwendung der Vorschriften mit (Art. 10 Abs. 2 DSG). Der EDÖB betont: Im Gegensatz zur DSGVO ist die Ernennung für Private fakultativ (EDÖB). Ratgeber, die eine Pflicht zur Benennung eines «Datenschutzbeauftragten» für jedes KMU behaupten, geben die europäische Regel wieder, nicht die schweizerische.

Die vier Voraussetzungen für die Erleichterung

Der Vorteil greift nur, wenn die Person vier Bedingungen erfüllt (Art. 10 Abs. 3 DSG):

1. Sie arbeitet fachlich unabhängig und weisungsungebunden.
2. Sie übt keine unvereinbaren Tätigkeiten aus.
3. Sie verfügt über die nötigen Fachkenntnisse.
4. Das Unternehmen veröffentlicht ihre Kontaktdaten und meldet sie dem EDÖB.

Unvereinbar ist laut EDÖB etwa die Mitgliedschaft in der Geschäftsleitung, eine Funktion in der Personalführung oder in der Informatikverwaltung; mit der Rolle der Informationssicherheit lässt sie sich kombinieren (EDÖB). Die Meldung erfolgt über das DPO-Portal des EDÖB mit AGOV- oder CH-Login.

Was Sie der Beraterin schulden

Sie stellen die nötigen Ressourcen bereit, gewähren Zugang zu Unterlagen, Verzeichnissen und Personendaten und räumen das Recht ein, in wichtigen Fällen den Verwaltungsrat oder die oberste Leitung zu informieren (Art. 23 DSV). Die Funktion kann extern vergeben, auf mehrere Personen verteilt oder einer juristischen Person übertragen werden; ein Wohnsitz in der Schweiz ist nicht vorgeschrieben (EDÖB-FAQ). Die Verantwortung für die Einhaltung des Gesetzes bleibt beim Unternehmen.

Detailantwort: Muss ein KMU einen Datenschutzberater ernennen?

Verzeichnis der Bearbeitungstätigkeiten

Das Verzeichnis listet, welche Daten Sie wozu bearbeiten. Pflichtinhalt für den Verantwortlichen sind sieben Punkte (Art. 12 Abs. 2 DSG): Identität des Verantwortlichen, Zweck, Kategorien der Betroffenen und der Daten, Kategorien der Empfänger, wenn möglich Aufbewahrungsdauer und Sicherheitsmassnahmen, sowie bei Bekanntgabe ins Ausland der Staat und die Garantien. Auftragsbearbeiter führen ein eigenes, kürzeres Verzeichnis (Art. 12 Abs. 3 DSG). Dem EDÖB melden müssen es nur Bundesorgane.

Die KMU-Ausnahme

Der Bundesrat hat die in Art. 12 Abs. 5 DSG vorgesehene Ausnahme in Art. 24 DSV umgesetzt:

Quelle: Art. 24 DSV (Stand 1.12.2025).

Massgebend ist der Stichtag 1. Januar. Wer während des Jahres über 250 wächst, bleibt bis zum nächsten Stichtag befreit. Auch befreite Unternehmen müssen informieren, Auskunft geben und die Daten sichern; der EDÖB weist ausdrücklich darauf hin (EDÖB-FAQ).

Detailantwort: Was muss das Verzeichnis der Bearbeitungstätigkeiten enthalten?

Bearbeitungsreglement und Protokollierung

Wer besonders schützenswerte Daten in grossem Umfang automatisiert bearbeitet oder ein Profiling mit hohem Risiko durchführt, braucht zusätzlich ein Bearbeitungsreglement mit Angaben zu Organisation, Verfahren und Sicherheit (Art. 5 DSV). In denselben Fällen müssen Sie Speichern, Verändern, Bekanntgeben, Löschen und Zugriffe protokollieren, wenn präventive Massnahmen nicht genügen; die Protokolle bewahren Sie mindestens ein Jahr getrennt vom System auf (Art. 4 DSV, Fassung seit 1.12.2025).

Datensicherheit, Datenschutz durch Technik und Auftragsbearbeitung

Datensicherheit ist die Pflicht, die jedes KMU trifft, und die einzige mit eigener Strafnorm für Mindestanforderungen (Art. 61 lit. c DSG). Sie bestimmen den Schutzbedarf nach Art der Daten und Umfang der Bearbeitung, beurteilen das Risiko und wählen Massnahmen nach Stand der Technik und Kosten; die Beurteilung überprüfen Sie während der ganzen Bearbeitung (Art. 1 DSV).

Quelle: Art. 1–3 DSV (Stand 1.12.2025).

Datenschutz durch Technikgestaltung und Voreinstellungen

Sie gestalten Systeme ab der Planung so, dass die Grundsätze eingehalten werden, und stellen per Voreinstellung sicher, dass nur das für den Zweck nötige Mindestmass an Daten bearbeitet wird (Art. 7 DSG). Praktisch heisst das: Pflichtfelder im Kontaktformular auf das Nötige beschränken, Newsletter-Häkchen nicht vorausfüllen, Löschfristen im System hinterlegen.

Auftragsbearbeiter richtig einbinden

Sie dürfen die Bearbeitung übertragen, wenn der Dienstleister die Daten nur so bearbeitet, wie Sie es selbst dürften, keine Geheimhaltungspflicht entgegensteht und Sie sich vergewissert haben, dass er die Datensicherheit gewährleistet (Art. 9 DSG). Unterauftragnehmer braucht es mit Ihrer vorgängigen Genehmigung; bei einer allgemeinen Genehmigung informiert Sie der Dienstleister über jeden Wechsel, und Sie können widersprechen (Art. 7 DSV).

Bekanntgabe ins Ausland

Cloud, Newsletter-Tool, Videokonferenz: Fast jedes KMU gibt Daten ins Ausland bekannt. Das DSG unterscheidet drei Wege (Art. 16–17 DSG).

Quelle: DSG Art. 16–17 (Stand 7.7.2025), DSV Anhang 1 (Stand 1.12.2025).

Anhang 1 umfasst 44 Einträge und wird periodisch überprüft (Art. 8 DSV). Prüfen Sie bei US-Anbietern, ob die Zertifizierung tatsächlich besteht; sonst brauchen Sie Standardklauseln. In Ihrer Datenschutzerklärung nennen Sie die Staaten und die Garantien (Art. 19 Abs. 4 DSG).

Informationspflicht und automatisierte Einzelentscheidung

Bei jeder Beschaffung informieren Sie mindestens über Identität und Kontaktdaten, Zweck und Empfänger; bei Daten von Dritten zusätzlich über die Datenkategorien, bei Auslandbekanntgabe über Staat und Garantien (Art. 19 DSG). Stammen die Daten nicht von der Person, informieren Sie spätestens einen Monat nach Erhalt. Die Information muss präzise, transparent, verständlich und leicht zugänglich sein (Art. 13 DSV); in der Praxis ist das die Datenschutzerklärung auf der Website, ergänzt um kurze Hinweise in Formularen. Die Pflicht entfällt unter anderem, wenn die Person bereits informiert ist oder die Bearbeitung gesetzlich vorgesehen ist (Art. 20 DSG).

Automatisierte Einzelentscheidung

Eine automatisierte Einzelentscheidung liegt vor, wenn ein System allein entscheidet und die Entscheidung eine Rechtsfolge hat oder die Person erheblich beeinträchtigt (Art. 21 Abs. 1 DSG). Typisch im KMU: ein Shop, der den Kauf auf Rechnung nach einer automatischen Bonitätsprüfung ablehnt, oder ein Bewerbungstool, das Kandidaturen ohne menschliche Sichtung aussortiert. Sie informieren die Person, geben ihr auf Antrag Gelegenheit zur Stellungnahme und lassen die Entscheidung auf Verlangen von einem Menschen überprüfen (Art. 21 Abs. 2 DSG). Keine Pflicht besteht, wenn dem Begehren im Rahmen eines Vertrags stattgegeben wird oder die Person ausdrücklich eingewilligt hat (Art. 21 Abs. 3 DSG). Für Bonitätsdaten gilt zudem: nicht älter als zehn Jahre, nur über volljährige Personen (Art. 31 Abs. 2 lit. c DSG). Detailantwort: Muss man Betroffene über eine automatisierte Einzelentscheidung informieren?

Datenschutz-Folgenabschätzung und Konsultation des EDÖB

Die Folgenabschätzung ist vorgängig zu erstellen, wenn eine Bearbeitung ein hohes Risiko mit sich bringen kann, insbesondere bei neuen Technologien (Art. 22 Abs. 1–2 DSG). Das Gesetz nennt die umfangreiche Bearbeitung besonders schützenswerter Daten und die systematische Überwachung umfangreicher öffentlicher Bereiche. Sie enthält drei Teile: Beschreibung der Bearbeitung, Bewertung der Risiken, Schutzmassnahmen (Art. 22 Abs. 3 DSG). Mehrere ähnliche Vorgänge dürfen gemeinsam beurteilt werden.

Keine Folgenabschätzung braucht, wer gesetzlich zur Bearbeitung verpflichtet ist, ein zertifiziertes System einsetzt oder einen dem EDÖB vorgelegten Verhaltenskodex einhält, der auf einer Folgenabschätzung beruht (Art. 22 Abs. 4–5 DSG). Eine Zertifizierung nach Art. 13 DSG ist damit der einzige Datenschutz-Audit, an den das Gesetz eine Rechtsfolge knüpft; eine allgemeine Auditpflicht gibt es nicht.

Bleibt trotz Massnahmen ein hohes Risiko, holen Sie vorgängig die Stellungnahme des EDÖB ein. Er antwortet innert zwei Monaten, bei komplexen Bearbeitungen innert drei (Art. 23 Abs. 1–2 DSG). Haben Sie einen gemeldeten Datenschutzberater konsultiert, entfällt dieser Schritt (Art. 23 Abs. 4 DSG). Die Abschätzung bewahren Sie nach Ende der Bearbeitung mindestens zwei Jahre auf (Art. 14 DSV). Detailantwort: Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Datenpanne: Meldung an den EDÖB und Information der Betroffenen

Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet, verändert oder Unbefugten zugänglich werden (Art. 5 lit. h DSG). Gestohlener Laptop, falsch adressierte Lohnabrechnung, Ransomware: alles Datenpannen. Meldepflichtig ist nur die Panne mit voraussichtlich hohem Risiko für die Betroffenen (Art. 24 Abs. 1 DSG).

Wie der EDÖB das hohe Risiko beurteilt

Der Leitfaden des EDÖB (Version 1.2 vom 23.4.2025) nennt als Kriterien die Sensibilität der Daten, Art und Motive des Angriffs, den Aufwand zur Identifikation, Menge und Dauer, wirtschaftliche Nachteile und verletzliche Personen. Kopien von Ausweisen und Kreditkartenangaben können ein hohes Risiko begründen, auch wenn sie nicht besonders schützenswert sind. Wirksam verschlüsselte Daten gelten für Unbefugte als anonym; dann entfällt die Meldepflicht. Bei Ransomware ist nach einer ersten Analyse je nach Umständen von einem voraussichtlich hohen Risiko auszugehen; Sie dürfen nicht abwarten.

Was in die Meldung gehört

Quelle: Art. 15 DSV (Stand 1.12.2025).

Gemeldet wird über das Online-Formular des EDÖB (DataBreach), das eine Bestätigung zum Herunterladen ausstellt. Fehlende Angaben liefern Sie so rasch als möglich nach. Jede Panne, auch eine nicht meldepflichtige, dokumentieren Sie mit Tatsachen, Auswirkungen und Massnahmen und bewahren die Dokumentation ab der Meldung mindestens zwei Jahre auf (Art. 15 Abs. 4 DSV). Ihr Auftragsbearbeiter muss Ihnen jede Verletzung melden, unabhängig vom Risiko (Art. 24 Abs. 3 DSG). Die Betroffenen informieren Sie, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Eine Meldung darf im Strafverfahren gegen die meldende Person nur mit deren Einverständnis verwendet werden (Art. 24 DSG). Detailantwort: Wann und wie schnell muss eine Datenpanne dem EDÖB gemeldet werden?

Auskunftsrecht und weitere Rechte der Betroffenen

Jede Person kann wissen, ob Sie Daten über sie bearbeiten. Sie teilen mindestens Identität, die Daten selbst, Zweck, Aufbewahrungsdauer, Herkunft, eine allfällige automatisierte Einzelentscheidung mit ihrer Logik sowie die Empfänger mit (Art. 25 Abs. 2 DSG). Bearbeiten Sie keine Daten, antworten Sie trotzdem mit einer Negativmeldung (EDÖB-FAQ).

Fristen und Kosten

Das Begehren erfolgt schriftlich; Sie identifizieren die Person mit angemessenen Mitteln (Art. 16 DSV). Die Auskunft ist innert 30 Tagen seit Eingang zu erteilen; reicht das nicht, teilen Sie innert dieser Frist mit, wann sie folgt (Art. 18 DSV). Sie ist kostenlos (Art. 25 Abs. 6 DSG). Bei unverhältnismässigem Aufwand dürfen Sie eine Beteiligung von höchstens CHF 300 verlangen; die Person hat dann zehn Tage Bedenkzeit, und die 30 Tage beginnen erst danach (Art. 19 DSV). Verweigern oder beschränken Sie die Auskunft, nennen Sie den Grund (Art. 26 Abs. 4 DSG).

Herausgabe, Berichtigung, Löschung

Daten, die Ihnen die Person selbst gegeben hat und die Sie automatisiert bearbeiten, geben Sie auf Verlangen kostenlos in einem gängigen elektronischen Format heraus (Art. 28 DSG). Unrichtige Daten sind zu berichtigen; gerichtlich kann die Person Löschung oder ein Bearbeitungsverbot verlangen (Art. 32 DSG).

Strafen und Befugnisse des EDÖB

Der EDÖB untersucht von Amtes wegen oder auf Anzeige (Art. 49 DSG). Er kann verfügen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen und Daten gelöscht werden, und Folgenabschätzung, Konsultation, Meldung oder Auskunft anordnen (Art. 51 DSG). Bussen spricht er nicht aus; das tun die kantonalen Strafbehörden nach einer Verurteilung (Art. 65 DSG, EDÖB-FAQ).

Quelle: DSG Art. 60–66 (Stand 7.7.2025).

Strafbar ist nur Vorsatz. Die Verfolgung verjährt nach fünf Jahren (Art. 66 DSG).

Konkrete Beispiele

Personen, Firmen und Zahlen sind erfunden; die Fristen folgen DSG und DSV.

Beispiel 1: Sandra, Winterthur, Physiotherapiepraxis, 18 Mitarbeitende

Sandra führt Dossiers für rund 2 400 Patientinnen und Patienten. Am 1.1.2026 beschäftigt sie 18 Personen, also weniger als 250. Gesundheitsdaten sind besonders schützenswert, und 2 400 Dossiers sind eine Bearbeitung in grossem Umfang. Die Ausnahme von Art. 24 lit. a DSV greift: Sandra muss ein Verzeichnis führen. Weil die Dossiers elektronisch geführt werden, braucht sie auch ein Bearbeitungsreglement (Art. 5 DSV).

Am 3.2.2026 verlangt ein früherer Patient Auskunft. Ohne Kostenbeteiligung läuft die Frist 30 Tage ab Eingang: 3.2.2026 plus 30 Tage ergibt den 5.3.2026 (Art. 18 DSV). Der Patient verlangt aber Kopien aus zwölf Jahren Behandlung, verteilt auf Papier und zwei Systeme. Sandra teilt ihm am 5.2.2026 eine Beteiligung von CHF 120 mit, unter dem Maximum von CHF 300. Die Bedenkzeit von zehn Tagen endet am 15.2.2026; die 30 Tage laufen danach, die Auskunft ist bis 17.3.2026 fällig (Art. 19 Abs. 3 DSV). Bestätigt der Patient nicht, gilt das Gesuch als zurückgezogen.

Beispiel 2: Marco, Basel, Onlineshop, 35 Mitarbeitende

Marco verkauft Velozubehör online. Sein CRM liegt bei einem US-Anbieter, der nach dem Swiss-US Data Privacy Framework zertifiziert ist; die Bekanntgabe ist damit nach Anhang 1 DSV zulässig. Das Newsletter-Tool eines zweiten US-Anbieters ist nicht zertifiziert: Marco schliesst Standarddatenschutzklauseln ab (Art. 16 Abs. 2 lit. d DSG).

Am Montag, 9.3.2026, um 7.30 Uhr verschlüsselt Ransomware seinen Shop-Server. Betroffen sind 12 000 Kundendatensätze mit Adressen und Bestellverlauf. Die Angreifer drohen mit Veröffentlichung. Nach dem EDÖB-Leitfaden ist von einem voraussichtlich hohen Risiko auszugehen; Marco meldet am selben Tag im DataBreach-Portal Art, Zeitpunkt, ungefähre Zahl der Datensätze und Personen, Folgen, Massnahmen und eine Ansprechperson (Art. 15 DSV). Er bewahrt die Dokumentation ab dem 9.3.2026 mindestens zwei Jahre auf, also bis mindestens 9.3.2028.

Die Unterlassung der Meldung wäre nicht strafbar gewesen (EDÖB-Leitfaden Ziff. 1.8). Strafbar wäre hingegen, wenn Marco vorsätzlich die Mindestanforderungen an die Datensicherheit missachtet hätte, etwa bekannte kritische Lücken nicht geschlossen (Art. 3 Abs. 2 lit. f DSV): Busse bis CHF 250 000 für ihn persönlich (Art. 61 lit. c DSG).

Beispiel 3: Lukas, St. Gallen, Maschinenbau, 248 Mitarbeitende

Am 1.1.2026 zählt Lukas' Firma 248 Mitarbeitende. 248 ist weniger als 250, und es gibt weder sensible Daten in grossem Umfang noch Profiling mit hohem Risiko: Für 2026 besteht keine Verzeichnispflicht. Im März stellt die Firma 15 Personen ein, total 263. Massgebend bleibt der Stichtag; die Pflicht beginnt am 1.1.2027, wenn der Bestand dann bei mindestens 250 liegt (Art. 24 DSV).

Für die Rekrutierung will Lukas ein Tool einführen, das Bewerbungen bewertet und unter einer Schwelle automatisch absagt. Das ist eine automatisierte Einzelentscheidung: Die Absage gibt dem Begehren nicht statt, die Ausnahme von Art. 21 Abs. 3 lit. a DSG greift nicht. Lukas informiert in der Ausschreibung und bietet eine Prüfung durch HR an. Weil das Tool Leistungs- und Verhaltensmerkmale verknüpft, erstellt er vorab eine Folgenabschätzung. Bleibt ein hohes Risiko, konsultiert er den EDÖB am 4.5.2026; die Antwort kommt bis 4.7.2026, bei komplexer Bearbeitung bis 4.8.2026 (Art. 23 Abs. 2 DSG). Mit einer gemeldeten, unabhängigen Datenschutzberaterin könnte er auf die Konsultation verzichten (Art. 23 Abs. 4 DSG).

Besondere Fälle

Genau 250 Mitarbeitende

Die Verordnung befreit nur, wer «weniger als 250» beschäftigt (Art. 24 DSV). Mit genau 250 am 1. Januar führen Sie ein Verzeichnis. Die FAQ des EDÖB spricht von «mehr als 250»; massgebend ist der Verordnungstext.

Firmenkunden statt Privatkunden

Das DSG schützt keine Daten juristischer Personen (Art. 1 DSG). Name, E-Mail und Telefon Ihrer Ansprechperson beim Firmenkunden sind aber Personendaten einer natürlichen Person. Auch ein reines B2B-KMU ist betroffen.

Bearbeitungen aus der Zeit vor dem 1.9.2023

Datenschutz durch Technik, Folgenabschätzung und Konsultation gelten nicht für Bearbeitungen, die vor dem Inkrafttreten begonnen haben, solange der Zweck gleich bleibt und keine neuen Daten beschafft werden (Art. 69 DSG). Die übrigen Pflichten gelten sofort.

Verlorener Laptop mit verschlüsselter Festplatte

Wirksam verschlüsselte Daten bleiben für den Finder unlesbar; der EDÖB betrachtet sie als anonym, eine Meldung entfällt (EDÖB-Leitfaden). Bloss pseudonymisierte Daten bleiben Personendaten. Dokumentieren Sie den Vorfall trotzdem (Art. 15 Abs. 4 DSV).

Panne beim Dienstleister

Der Auftragsbearbeiter meldet Ihnen, nicht dem EDÖB; Sie beurteilen das Risiko und melden (Art. 24 Abs. 3 DSG). Verlangen Sie im Vertrag eine Meldung ohne Verzug.

Ausländisches Unternehmen mit Kunden in der Schweiz

Ein Verantwortlicher ohne Sitz in der Schweiz bezeichnet eine Vertretung, wenn er Waren oder Dienstleistungen in der Schweiz anbietet und die Bearbeitung umfangreich, regelmässig und mit hohem Risiko verbunden ist; alle vier Bedingungen müssen erfüllt sein (Art. 14 DSG).

Externe Datenschutzberatung

Eine Kanzlei oder Beratungsfirma kann die Funktion übernehmen (EDÖB-FAQ). Sie muss dann für Betroffene und EDÖB erreichbar sein und bei Bedarf eine Vollmacht vorlegen (EDÖB). Wer Datenschutzberatung als Dienstleistung anbietet, unterliegt denselben Unabhängigkeitskriterien gegenüber jedem Mandanten.

Was das für Sie bedeutet

1. Diese Woche: Prüfen Sie Ihren Personalbestand am 1.1.2026 und die zwei Ausnahmen nach Art. 24 DSV.
2. Innert eines Monats: Listen Sie alle Dienstleister mit Zugriff auf Personendaten und deren Standort; prüfen Sie Anhang 1 und die US-Zertifizierungen.
3. Innert eines Monats: Aktualisieren Sie die Datenschutzerklärung mit Staaten, Garantien und automatisierten Entscheidungen.
4. Innert drei Monaten: Legen Sie Zugriffsrechte, Verschlüsselung, Backup und Updates schriftlich fest (Art. 3 DSV).
5. Sofort: Bestimmen Sie, wer eine Panne beurteilt und im DataBreach-Portal meldet, und wer Auskunftsbegehren innert 30 Tagen beantwortet.
6. Vor jedem neuen Tool: Folgenabschätzung prüfen, besonders bei KI, Videoüberwachung und Bewerbungsauswahl.
7. Jährlich am 1. Januar: Mitarbeiterzahl, Verzeichnis und Protokollfristen überprüfen. Numezis führt Kunden-, Personal- und Dokumentendaten mit Zugriffsrechten und Änderungsprotokoll an einem Ort, was Verzeichnis und Auskunft erleichtert.

Checkliste: Datenschutz im KMU in zehn Schritten

1. Datenbestand erfassen. Listen Sie Kunden-, Lieferanten-, Personal- und Bewerberdaten mit Zweck und Ort der Speicherung auf (Art. 6 DSG).
2. Verzeichnispflicht prüfen. Zählen Sie die Mitarbeitenden am 1. Januar und prüfen Sie die zwei Ausnahmen (Art. 24 DSV); bei Pflicht das Verzeichnis nach Art. 12 DSG anlegen.
3. Rolle Datenschutzberater entscheiden. Wenn Sie Folgenabschätzungen erwarten, ernennen Sie eine unabhängige Person und melden Sie sie im DPO-Portal (Art. 10 Abs. 3 DSG).
4. Auftragsbearbeiter prüfen. Für jeden Dienstleister: Vertrag, Sicherheitsnachweis, Unterauftragnehmer (Art. 9 DSG, Art. 7 DSV).
5. Auslandbekanntgaben klären. Staat gegen Anhang 1 prüfen, sonst Standardklauseln (Art. 16 DSG).
6. Datenschutzerklärung aktualisieren. Pflichtangaben, Staaten, Garantien, automatisierte Entscheidungen (Art. 19 und 21 DSG).
7. Sicherheitsmassnahmen festlegen. Zugriffsrechte, Verschlüsselung, Backup, Updates, Protokolle (Art. 3 DSV).
8. Folgenabschätzung bei neuen Projekten. Vor jeder Bearbeitung mit hohem Risiko (Art. 22 DSG).
9. Pannenprozess einrichten. Meldeweg intern, Risikobeurteilung, Meldung im DataBreach-Portal, Dokumentation zwei Jahre (Art. 15 DSV).
10. Auskunftsprozess und Löschfristen. Vorlage für Auskünfte innert 30 Tagen und Löschung nach Zweckerfüllung (Art. 18 DSV, Art. 6 Abs. 4 DSG).

Häufige Fehler

• Mit 72 Stunden rechnen. Das DSG verlangt «so rasch als möglich» (Art. 24 DSG); wer bei Ransomware drei Tage abklärt, meldet zu spät, und der EDÖB kann die Meldung verfügen (Art. 51 Abs. 3 lit. f DSG).
• Den CEO zum Datenschutzberater machen. Mitglieder der Geschäftsleitung sind laut EDÖB unvereinbar; die Ausnahme von der EDÖB-Konsultation entfällt, und der EDÖB kann die Konsultation anordnen (Art. 51 Abs. 3 lit. e DSG).
• Datenschutzberater für Pflicht halten. Private sind frei (Art. 10 DSG); Geld fliesst besser in Datensicherheit, deren Missachtung bis CHF 250 000 kosten kann (Art. 61 lit. c DSG).
• US-Tool ohne Zertifizierung oder Klauseln. Eine vorsätzlich unzulässige Bekanntgabe kostet bis CHF 250 000 (Art. 61 lit. a DSG).
• Dienstleister ohne Prüfung. Wer die Bearbeitung überträgt, ohne die Sicherheit des Dienstleisters geprüft zu haben, riskiert bis CHF 250 000 (Art. 61 lit. b DSG).
• Unvollständige Auskunft. Eine vorsätzlich unvollständige Auskunft ist strafbar, bis CHF 250 000 (Art. 60 Abs. 1 lit. a DSG); auch eine Negativmeldung ist geschuldet.
• Glauben, die Firma zahle die Busse. Gebüsst wird die verantwortliche Person; das Unternehmen nur ausnahmsweise bis CHF 50 000 (Art. 64 DSG).

Ausführliche Antworten

• Muss ein KMU eine Datenschutzberaterin oder einen Datenschutzberater ernennen? → /de/compliance/datenschutz/datenschutzberater-pflicht-kmu
• Was muss das Verzeichnis der Bearbeitungstätigkeiten enthalten? → /de/compliance/datenschutz/bearbeitungsverzeichnis-inhalt
• Wann ist eine Datenschutz-Folgenabschätzung erforderlich? → /de/compliance/datenschutz/datenschutz-folgenabschaetzung-pflicht
• Wann und wie schnell muss eine Datenpanne dem EDÖB gemeldet werden? → /de/compliance/datenschutz/datenpanne-meldung-edoeb
• Muss man Betroffene über eine automatisierte Einzelentscheidung informieren? → /de/compliance/datenschutz/automatisierte-einzelentscheidung
• Was bedeuten Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen? → /de/compliance/datenschutz/datenschutz-durch-technik-voreinstellungen
• Unter welchen Voraussetzungen darf man Personendaten einem Auftragsbearbeiter übertragen? → /de/compliance/datenschutz/auftragsbearbeitung-voraussetzungen
• Unter welchen Bedingungen dürfen Personendaten ins Ausland übermittelt werden? → /de/compliance/datenschutz/datenuebermittlung-ausland-bedingungen
• Wer wird bei Datenschutzverstössen gebüsst: das Unternehmen oder die verantwortliche Person? → /de/compliance/datenschutz/busse-unternehmen-oder-person
• Welche technischen und organisatorischen Massnahmen verlangt der Datenschutz? → /de/compliance/datenschutz/technische-organisatorische-massnahmen

Quellen

1. Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 1–33, 49–51, 60–66, 69, 74 — https://www.fedlex.admin.ch/eli/cc/2022/491/de (Stand 7.7.2025).
2. Verordnung über den Datenschutz (DSV), SR 235.11, Art. 1–5, 7–24, Anhang 1 — https://www.fedlex.admin.ch/eli/cc/2022/568/de (Stand 1.12.2025).
3. Obligationenrecht (OR), SR 220, Art. 958f — https://www.fedlex.admin.ch/eli/cc/27/317_321_377/de#art_958_f (Stand 1.10.2026).
4. EDÖB, Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, Version 1.2 — https://www.edoeb.admin.ch/dam/de/sd-web/T64CAUyvAMcF/1_2%20Leitfaden%20des%20ED%C3%96B%20betreffend%20die%20Meldung%20von%20Datensicherheitsverletzungen%20und%20Information%20der%20Betroffenen%20nach%20Art.%2024%20DSG_DE.pdf (23.4.2025).
5. EDÖB, Datenschutzberaterin und -berater — https://www.edoeb.admin.ch/de/datenschutzberaterin-und-berater (2.11.2026).
6. EDÖB, FAQ Datenschutz — https://www.edoeb.admin.ch/de/faq-datenschutz (2.11.2026).
7. EDÖB, Meldeportal DataBreach — https://www.edoeb.admin.ch/de/databreach (2.11.2026).
8. EDÖB, Meldeportale (DataBreach, DPO-Portal) — https://www.edoeb.admin.ch/de/meldeportale (2.11.2026).
9. SECO KMU-Portal, Datenschutz: Was man wissen muss — https://www.kmu.admin.ch/de/datenschutz-was-man-wissen-muss (2.11.2026).