Das revidierte Datenschutzgesetz (DSG) gilt zusammen mit der Datenschutzverordnung (DSV) seit dem 1. September 2023 (Art. 74 DSG, Art. 47 DSV). Für KMU stellen sich zwei praktische Fragen: Muss unser Betrieb ein Bearbeitungsverzeichnis führen, und wann brauchen wir eine Datenschutz-Folgenabschätzung (DSFA)? Dieser Ratgeber beantwortet beide Fragen am Gesetzestext, erklärt die technischen und organisatorischen Massnahmen als gemeinsame Grundlage und zeigt an einem Beispiel, wie ein Betrieb vorgeht.
Das Bearbeitungsverzeichnis nach Art. 12 DSG
Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten (Art. 12 Abs. 1 DSG). Verantwortlich ist, wer allein oder zusammen mit anderen über Zweck und Mittel der Bearbeitung entscheidet; ein Auftragsbearbeiter bearbeitet im Auftrag des Verantwortlichen (Art. 5 Bst. j und k DSG). Das Verzeichnis des Verantwortlichen enthält mindestens (Art. 12 Abs. 2 DSG):
- die Identität des Verantwortlichen
- den Bearbeitungszweck
- die Kategorien betroffener Personen und die Kategorien bearbeiteter Personendaten
- die Kategorien der Empfängerinnen und Empfänger
- wenn möglich die Aufbewahrungsdauer oder die Kriterien dafür
- wenn möglich eine allgemeine Beschreibung der Massnahmen zur Datensicherheit nach Art. 8 DSG
- bei Bekanntgabe ins Ausland den Staat und die Garantien nach Art. 16 Abs. 2 DSG
Das Verzeichnis des Auftragsbearbeiters ist knapper und enthält Angaben zu seiner Identität und der des Verantwortlichen, zu den Kategorien von Bearbeitungen im Auftrag und zu den Datensicherheitsmassnahmen sowie zur Auslandbekanntgabe (Art. 12 Abs. 3 DSG). Zur Zusammenarbeit mit externen Dienstleistern finden Sie ein Beispiel im Ratgeber Treuhand-Zusammenarbeit. Private Unternehmen melden ihr Verzeichnis nicht dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB); diese Pflicht trifft nur Bundesorgane (Art. 12 Abs. 4 DSG).
Wer von der Pflicht ausgenommen ist
Art. 12 Abs. 5 DSG beauftragt den Bundesrat, Ausnahmen für Unternehmen vorzusehen, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko mit sich bringt. Die Datenschutzverordnung (DSV) setzt das in Art. 24 um: Unternehmen und andere privatrechtliche Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen, sowie natürliche Personen sind von der Pflicht befreit. Die Befreiung gilt nicht, wenn eine der beiden Voraussetzungen erfüllt ist: Es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet, oder es wird ein Profiling mit hohem Risiko durchgeführt.
Besonders schützenswert sind nach Art. 5 Bst. c DSG zum Beispiel Daten über die Gesundheit, über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, genetische Daten, biometrische Daten, die eine Person eindeutig identifizieren, Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen oder Daten über Massnahmen der sozialen Hilfe. Die Verordnung sagt nicht, ab welcher Menge ein «grosser Umfang» vorliegt; das müssen Sie im Einzelfall beurteilen. Der EDÖB beschreibt die Pflicht auf seiner Seite sinngemäss gleich; er nennt die Schwelle dort allerdings «mehr als 250 Mitarbeitende». Für den Grenzfall genau 250 Beschäftigte gilt der Wortlaut der Verordnung: befreit sind nur Betriebe mit weniger als 250. Auch wer befreit ist, muss die übrigen Bestimmungen einhalten, etwa die Auskunfts- und Informationspflichten.
Wer besonders schützenswerte Daten in grossem Umfang bearbeitet oder ein Profiling mit hohem Risiko durchführt, muss ausserdem ein Bearbeitungsreglement für automatisierte Bearbeitungen erstellen (Art. 5 DSV). Ein Verzeichnis ist auch ohne Pflicht ein guter Nachweis, dass Sie Ihre Datenbearbeitungen kennen; diese Empfehlung ist Praxis und keine gesetzliche Vorgabe.
Technische und organisatorische Massnahmen
Verantwortliche und Auftragsbearbeiter müssen durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten (Art. 8 Abs. 1 DSG). Die Verordnung konkretisiert das: Zuerst bestimmen Sie den Schutzbedarf der Daten und beurteilen das Risiko; danach legen Sie die Massnahmen fest (Art. 1 DSV). Schutzbedarf, Risiko und Massnahmen sind über die gesamte Bearbeitungsdauer zu überprüfen und nötigenfalls anzupassen (Art. 1 Abs. 5 DSV). Die Massnahmen verfolgen vier Ziele: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit (Art. 2 DSV). Beispiele aus Art. 3 DSV sind Zugriffs- und Zugangskontrolle, die rasche Wiederherstellung der Daten nach einem Zwischenfall, ein aktueller Sicherheitsstand der Systeme und die Möglichkeit, zu überprüfen, wer welche Daten eingegeben oder verändert hat.
Die Datenschutz-Folgenabschätzung
Der Verantwortliche erstellt vorgängig eine DSFA, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann (Art. 22 Abs. 1 DSG). Das hohe Risiko ergibt sich insbesondere bei neuen Technologien aus Art, Umfang, Umständen und Zweck der Bearbeitung. Es liegt namentlich vor bei umfangreicher Bearbeitung besonders schützenswerter Personendaten und bei systematischer Überwachung umfangreicher öffentlicher Bereiche (Art. 22 Abs. 2 DSG). Mehrere ähnliche Vorgänge dürfen gemeinsam abgeschätzt werden.
Die DSFA enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken und die Schutzmassnahmen (Art. 22 Abs. 3 DSG). Der EDÖB beschreibt die DSFA als Instrument, mit dem Risiken erfasst, bewertet und behandelt werden; entscheidend ist am Schluss das verbleibende Restrisiko. Private Verantwortliche sind ausgenommen, wenn sie zur Bearbeitung gesetzlich verpflichtet sind (Art. 22 Abs. 4 DSG); Private Verantwortliche können zudem von einer DSFA absehen, wenn sie ein für die vorgesehene Verwendung zertifiziertes System, Produkt oder eine zertifizierte Dienstleistung einsetzen oder einen Verhaltenskodex einhalten, der auf einer DSFA beruht, Schutzmassnahmen vorsieht und dem EDÖB vorgelegt wurde (Art. 22 Abs. 5 DSG).
Bleibt trotz der Massnahmen ein hohes Risiko, holt der Verantwortliche vorgängig die Stellungnahme des EDÖB ein (Art. 23 Abs. 1 DSG). Dieser teilt seine Einwände innert zwei Monaten mit; bei komplexen Bearbeitungen kann die Frist um einen Monat verlängert werden (Art. 23 Abs. 2 DSG). Private Verantwortliche können auf die Konsultation verzichten, wenn sie ihre Datenschutzberaterin oder ihren Datenschutzberater konsultiert haben (Art. 23 Abs. 4 DSG). Das gilt nur, wenn diese Person fachlich unabhängig und weisungsungebunden arbeitet, keine unvereinbaren Tätigkeiten ausübt, die nötigen Fachkenntnisse hat und ihre Kontaktdaten veröffentlicht und dem EDÖB mitgeteilt sind (Art. 10 Abs. 3 DSG). Die DSFA ist nach Ende der Bearbeitung mindestens zwei Jahre aufzubewahren (Art. 14 DSV).
Auskunftsbegehren und die 30 Tage
Jede Person kann Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden (Art. 25 Abs. 1 DSG); die Auskunft ist kostenlos (Art. 25 Abs. 6 DSG, Ausnahmen vorbehalten). Sie muss nach Art. 18 DSV innerhalb von 30 Tagen seit Eingang des Begehrens erteilt werden. Kann der Verantwortliche diese Frist nicht einhalten, informiert er die Person und nennt die Frist, innert der die Auskunft folgt. Wer die Auskunft verweigert, einschränkt oder aufschiebt, muss das innerhalb derselben Frist mitteilen.
Praxisbeispiel: Muster Spitex AG
Die Muster Spitex AG ist ein erfundenes Unternehmen mit 120 Mitarbeitenden am 1. Januar 2026. Sie liegt unter der Schwelle von 250, bearbeitet aber Gesundheitsdaten ihrer Klientinnen und Klienten. Ob das «in grossem Umfang» geschieht, ist nicht abschliessend geklärt; die Geschäftsleitung nimmt die Befreiung deshalb vorsichtshalber nicht in Anspruch und führt ein Verzeichnis. Es umfasst vier Bearbeitungstätigkeiten:
| Tätigkeit | Betroffene | Datenkategorien | Besonders schützenswert | Aufbewahrung |
|---|---|---|---|---|
| Pflegedokumentation | Klientinnen, Klienten | Stammdaten, Pflegedaten | ja (Gesundheit) | nach den anwendbaren Vorgaben, vom Betrieb zu klären |
| Einsatzplanung | Mitarbeitende | Stammdaten, Einsatzzeiten | nein | solange das Arbeitsverhältnis besteht |
| Lohnabrechnung | Mitarbeitende | Stammdaten, Lohndaten | nein | nach den gesetzlichen Fristen |
| Bewerbungen | Bewerbende | Bewerbungsunterlagen | nein | drei Monate nach Abschluss (betriebsintern) |
Im Herbst 2026 plant sie eine Software, die aus den Pflegedaten das Sturzrisiko der Klientinnen und Klienten einschätzt. Das ist eine automatisierte Bewertung von Gesundheitsaspekten (Profiling nach Art. 5 Bst. f DSG), eine neue Technologie und eine umfangreiche Bearbeitung besonders schützenswerter Daten; eine DSFA ist nötig. Spätestens mit dieser Auswertung bearbeitet der Betrieb besonders schützenswerte Personendaten in grossem Umfang: Die Befreiung nach Art. 24 DSV entfällt, und für die automatisierte Bearbeitung braucht es ein Bearbeitungsreglement (Art. 5 DSV). Weil die Auswertung freiwillig ist, greift die Ausnahme für gesetzlich verpflichtete Bearbeitungen (Art. 22 Abs. 4 DSG) nicht. Die Abschätzung bewertet drei Risiken auf einer Skala von 1 bis 4 für Wahrscheinlichkeit und Schwere. Die Stufen sind eine betriebliche Festlegung des Beispiels und kein gesetzlicher Massstab: gering bis 3, mittel von 4 bis 7, hoch ab 8.
| Risiko | Vorher | Massnahme | Nachher |
|---|---|---|---|
| Fehleinschätzung führt zu unpassenden Massnahmen | 2 × 3 = 6 | Prognose nur als Hinweis, Entscheid der Pflegefachperson wird festgehalten | 1 × 3 = 3 |
| Unbefugter Zugriff auf die Auswertungen | 3 × 3 = 9 | Zugriff nach Rollen, Protokollierung | 2 × 3 = 6 |
| Support-Zugriff des Herstellers aus dem Ausland | 2 × 4 = 8 | Zugriff nur auf Anforderung, vertragliche Garantien nach Art. 16 Abs. 2 DSG | 1 × 4 = 4 |
Die höchste Restbewertung ist 6, also mittel. Die Geschäftsleitung kommt zum Schluss, dass kein hohes Restrisiko im Sinn von Art. 23 Abs. 1 DSG verbleibt, und hält den Entscheid mit Begründung fest; die Stellungnahme des EDÖB ist damit nicht nötig. Der Hersteller-Support wird im Verzeichnis als Bekanntgabe ins Ausland mit Staat und Garantie eingetragen. Am Montag, 9. November 2026, geht ausserdem ein Auskunftsbegehren eines Klienten ein. Die Frist von 30 Tagen läuft bis Mittwoch, 9. Dezember 2026.
Checkliste
- Geprüft, ob die Befreiung nach Art. 24 DSV gilt (Mitarbeitende am 1. Januar, besonders schützenswerte Daten, Profiling)
- Bearbeitungstätigkeiten erfasst: Zweck, Kategorien, Empfänger, Aufbewahrung, Auslandbekanntgabe
- Massnahmen zur Datensicherheit beschrieben und regelmässig überprüft
- Verzeichnis mit Auftragsbearbeitern abgestimmt
- Vor neuen Systemen geprüft, ob eine DSFA nötig ist, und das Ergebnis festgehalten
- Bei hohem Restrisiko: Stellungnahme des EDÖB eingeholt oder die Datenschutzberaterin bzw. den Datenschutzberater nach Art. 10 DSG konsultiert
- DSFA nach Ende der Bearbeitung mindestens zwei Jahre aufbewahrt
- Verfahren für Auskunftsbegehren mit 30-Tage-Frist festgelegt
So löst es KMU | base
QMS | base führt die Datenschutzthemen unter Betrieb und Nachweise › Datenschutz. Der Bereich ist an ein eigenes Recht gebunden. Die Software weist selbst darauf hin, dass Fristen, Schwellen und Kriterien Vorgaben von QMS | base sind und keine rechtliche Beurteilung im Einzelfall ersetzen.
1. Verzeichnis der Bearbeitungstätigkeiten. Sie führen das Verzeichnis nach DSG mit Zweck, Datenkategorien, Empfängern, Bekanntgabe ins Ausland, Aufbewahrung und Prüfintervall, als Excel und PDF. Die Software meldet fehlende Pflichtangaben. Ein Eintrag wird erst aktiv, wenn Zweck, Kategorien und Aufbewahrung erfasst sind; bei der Aufbewahrung verlangt sie damit mehr als Art. 12 Abs. 2 Bst. e DSG, der diese Angabe nur «wenn möglich» fordert. Ob Ihr Betrieb nach Art. 24 DSV befreit ist, prüft sie nicht automatisch.
2. Technische und organisatorische Massnahmen. Sie pflegen Ihre Massnahmen mit Status und Prüftermin und verknüpfen sie mit den Bearbeitungen.
3. Datenschutz-Folgenabschätzung. Sie prüfen vorab das Risiko in einer Vorprüfung mit Kriterien, bewerten Risiken und Massnahmen und sehen bei hohem Restrisiko den Hinweis, die Konsultation der Aufsicht zu prüfen. Die Freigabe erfolgt im Vier-Augen-Prinzip. Die Kriterien der Vorprüfung und die Schwellen der Risikomatrix sind eigene Vorgaben von QMS | base; ob eine DSFA erforderlich ist, entscheidet der Verantwortliche. Die Aufbewahrung der DSFA überwacht die Software nicht.
4. Betroffenenbegehren mit Fristen. Sie erfassen Auskunfts-, Berichtigungs- und Löschbegehren nur mit einem frei gewählten Kürzel, ohne Namen oder Kontaktdaten, überwachen die Frist und werden täglich erinnert. Die interne Frist beträgt 30 Tage ab Eingang und lässt sich mit Begründung verlängern. Für die Auskunft entspricht das Art. 18 DSV; für die übrigen Begehren ist es eine Vorgabe von QMS | base.
Möchten Sie es selbst ausprobieren, sehen Sie sich die Demo an oder eröffnen Sie ein Testkonto. Aktuelle Konditionen finden Sie unter Preise; bei Fragen hilft die Kontaktseite.
Quellen
- Bundesgesetz über den Datenschutz (DSG, SR 235.1), Art. 5, 8, 10, 12, 16, 22, 23, 25 und 74, Stand 7. Juli 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
- Verordnung über den Datenschutz (DSV, SR 235.11), Art. 1–3, 5, 14, 18, 24 und 47, Stand 1. Dezember 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
- EDÖB: FAQ Datenschutz, Abschnitt Bearbeitungsverzeichnis, Seite ohne Datumsangabe, abgerufen am 27.10.2026.
- EDÖB: Datenschutz-Folgenabschätzung, Seite ohne Datumsangabe, abgerufen am 27.10.2026.
Dieser Ratgeber ersetzt keine Rechts- oder Steuerberatung. Stand der Informationen: 27.10.2026.