Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz — kurz DSG. Viele Kleinbetriebe haben davon gehört, aber wenige wissen genau, was sich für sie konkret ändert. Und noch weniger haben bisher gehandelt.
Das ist verständlich: Das Gesetz klingt nach Bürokratie, und der Alltag im Betrieb lässt wenig Zeit für juristische Texte. Aber ignorieren ist keine Option. Denn das DSG gilt nicht nur für Grossunternehmen — es gilt für jeden Betrieb, der Personendaten bearbeitet. Und das tut so gut wie jedes KMU täglich.
Dieser Artikel erklärt, was das DSG für Kleinbetriebe bedeutet, was konkret umgesetzt werden muss — und was man getrost nicht überdramatisieren sollte.
Was ist das DSG — und warum wurde es revidiert?
Das Datenschutzgesetz regelt, wie Unternehmen und Organisationen in der Schweiz mit Personendaten umgehen dürfen. Die Revision war nötig, weil das alte Gesetz aus dem Jahr 1992 stammte — einer Zeit, in der es weder Smartphones noch Cloud-Dienste gab.
Das neue DSG orientiert sich stark an der europäischen DSGVO, ist aber etwas schlanker und pragmatischer. Für Schweizer KMU bedeutet das: Die Grundprinzipien sind ähnlich wie in der EU, aber die Anforderungen sind insgesamt etwas weniger umfangreich.
Wichtig: Die Schweiz hat ein eigenständiges Gesetz. Betriebe, die ausschliesslich in der Schweiz tätig sind und keine EU-Kunden bedienen, müssen nur das DSG einhalten — nicht die DSGVO.
Was sind eigentlich Personendaten?
Bevor wir ins Konkrete gehen: Personendaten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.
Das umfasst mehr als viele denken:
- Name, Adresse, Telefonnummer, E-Mail-Adresse
- Geburtsdatum, AHV-Nummer
- Fotos und Videos von Personen
- IP-Adressen und Browser-Daten (auf der eigenen Website)
- Gesundheitsdaten, Angaben zur Religion oder politischen Meinung (besonders schützenswerte Daten)
- Kaufhistorie, Präferenzen, Kundennotizen
Kurz: Wenn Sie eine Kundenkartei führen, Bewerbungsunterlagen aufbewahren, einen Newsletter versenden oder Fotos Ihrer Mitarbeitenden auf der Website zeigen — dann bearbeiten Sie Personendaten im Sinne des DSG.
Was das DSG von KMU konkret verlangt
1. Transparenz: Kunden müssen wissen, was mit ihren Daten passiert
Das wichtigste Prinzip des DSG ist Transparenz. Wer Personendaten erhebt, muss die betroffenen Personen darüber informieren — was gesammelt wird, zu welchem Zweck, wie lange die Daten gespeichert werden und ob sie an Dritte weitergegeben werden.
In der Praxis bedeutet das für die meisten Betriebe:
Eine Datenschutzerklärung auf der Website. Sie müssen erklären, welche Daten Sie über Websitebesucher sammeln (zum Beispiel durch Google Analytics oder Kontaktformulare) und was damit passiert. Diese Erklärung muss klar, verständlich und leicht auffindbar sein — üblicherweise im Footer der Website verlinkt.
Information beim Erstkontakt. Wenn Sie Kundendaten erheben — zum Beispiel beim Ausfüllen eines Formulars, bei der Auftragsannahme oder bei der Anmeldung zu einem Newsletter — müssen Sie die Person darüber informieren, wie ihre Daten verwendet werden. Das kann ein kurzer Hinweis beim Formular sein: „Ihre Daten werden ausschliesslich zur Auftragsabwicklung verwendet und nicht an Dritte weitergegeben.»
2. Zweckbindung: Daten dürfen nur für den vereinbarten Zweck genutzt werden
Wer Kundendaten für die Rechnungsstellung erhebt, darf sie nicht ohne weiteres für Marketingzwecke nutzen. Der Zweck muss klar definiert sein — und die Daten dürfen nur für diesen Zweck verwendet werden.
Ein häufiger Fehler in kleinen Betrieben: Kundendaten aus der Auftragsabwicklung landen automatisch im Newsletter-Verteiler. Das ist nach DSG nicht erlaubt, ausser die Person hat explizit zugestimmt.
Was das in der Praxis bedeutet: Newsletter-Anmeldungen brauchen eine ausdrückliche Einwilligung. Ein einfaches Kontaktformular reicht nicht als Zustimmung zum Erhalt von Werbung.
3. Datensparsamkeit: Nur was nötig ist, darf gesammelt werden
Das DSG verlangt, dass nur jene Daten erhoben werden, die für den jeweiligen Zweck tatsächlich notwendig sind. Wer einen Handwerksauftrag annimmt, braucht Name, Adresse und Kontaktdaten — aber keine Angaben zur Nationalität oder zum Zivilstand.
Überprüfen Sie einmal, welche Daten Ihre Formulare, Ihr CRM oder Ihre Kundenverwaltung aktuell abfragen. Oft werden Felder ausgefüllt, nur weil sie da sind — nicht weil die Information wirklich gebraucht wird.
4. Datensicherheit: Technische und organisatorische Schutzmassnahmen
Das DSG verlangt, dass Personendaten angemessen geschützt werden — vor unbefugtem Zugriff, vor Verlust und vor Missbrauch. Was „angemessen» bedeutet, hängt vom Risiko ab: Ein Arzt, der Gesundheitsdaten verwaltet, muss mehr investieren als ein Maler, der nur Namen und Adressen hat.
Für die meisten Kleinbetriebe sind folgende Massnahmen die Grundlage:
- Zugriffsschutz: Nur berechtigte Personen haben Zugang zu Kundendaten
- Sichere Passwörter und Zwei-Faktor-Authentifizierung für alle Systeme mit Personendaten
- Regelmässige Backups der Kundendaten
- Verschlüsselung bei der Übertragung (HTTPS auf der Website)
- Klare Regeln, wer welche Daten einsehen darf
5. Auskunftsrecht: Kunden können ihre Daten anfordern
Jede Person hat das Recht, zu erfahren, welche Daten ein Unternehmen über sie gespeichert hat — und kann verlangen, dass falsche Daten korrigiert oder nicht mehr benötigte Daten gelöscht werden.
In der Praxis passiert das selten. Aber Sie müssen darauf vorbereitet sein: Wenn ein Kunde fragt, müssen Sie innert angemessener Frist Auskunft geben können. Das setzt voraus, dass Sie wissen, wo welche Daten gespeichert sind.
6. Datenpannen melden
Neu verlangt das DSG, dass schwerwiegende Datenpannen — also zum Beispiel ein Hackerangriff, bei dem Kundendaten gestohlen wurden — dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden, sofern ein hohes Risiko für die betroffenen Personen besteht.
Auch hier gilt: Bei einem kleinen Betrieb mit wenigen Kundendaten ist das Risiko oft gering. Aber das Bewusstsein dafür sollte vorhanden sein.
Was die meisten KMU aktuell noch nicht gemacht haben
Eine ehrliche Bestandsaufnahme zeigt, dass viele Kleinbetriebe in der Schweiz folgende Punkte noch nicht umgesetzt haben:
Fehlende oder veraltete Datenschutzerklärung auf der Website. Viele Seiten haben gar keine, oder noch eine Version aus der Zeit vor der DSG-Revision.
Newsletter ohne gültige Einwilligung. Wer Kunden aus der Auftragsabwicklung automatisch in den Verteiler aufnimmt, verstösst gegen das Gesetz.
Keine Regelung für den Umgang mit Bewerbungsunterlagen. Wie lange werden Unterlagen von nicht berücksichtigten Bewerbern aufbewahrt? Nach DSG sollten sie nach spätestens sechs Monaten vernichtet werden, ausser die Person hat einer längeren Aufbewahrung zugestimmt.
Keine Übersicht, wo Kundendaten überall gespeichert sind. CRM, Excel-Tabelle, E-Mail-Postfach, Cloud-Ablage — oft ist unklar, wo was liegt.
Was Sie als nächstes tun sollten — in drei Schritten
Sie müssen das Thema nicht an einem Tag lösen. Aber einen Anfang machen lohnt sich.
Schritt 1 — Bestandsaufnahme (1–2 Stunden): Schreiben Sie auf, welche Personendaten Sie wo speichern. Kundenadressen, Mitarbeiterdaten, Bewerbungsunterlagen, Newsletterlisten, Website-Formulare. Schon diese Übersicht hilft enorm.
Schritt 2 — Website bereinigen: Prüfen Sie Ihre Datenschutzerklärung — oder erstellen Sie eine, falls noch keine vorhanden ist. Es gibt seriöse Generatoren für Schweizer Verhältnisse, zum Beispiel vom Datenschutzbeauftragten des Kantons Zürich. Stellen Sie ausserdem sicher, dass Ihr Kontaktformular einen Hinweis auf die Datennutzung enthält.
Schritt 3 — Einwilligungen für Newsletter prüfen: Falls Sie einen Newsletter betreiben: Überprüfen Sie, ob alle Empfänger aktiv zugestimmt haben. Falls nicht, senden Sie einmalig eine Bestätigungsmail — oder bereinigen Sie die Liste.
Was Sie nicht übertreiben müssen
Das DSG ist kein Grund zur Panik. Es ist kein Gesetz, das primär darauf ausgelegt ist, Kleinbetriebe zu büssen. Der EDÖB verfolgt einen pragmatischen Ansatz und schaut zuerst, ob Betriebe ernsthaft bemüht sind, die Anforderungen zu erfüllen.
Wer die Grundprinzipien kennt, transparent kommuniziert und offensichtliche Verstösse vermeidet, ist in einer guten Ausgangslage. Perfekt muss es nicht sein — aber den Kopf in den Sand zu stecken ist keine Strategie.
Fazit: Datenschutz ist Kundenschutz
Das DSG ist kein bürokratisches Hindernis. Es ist im Kern ein Versprechen an Ihre Kunden: Wir gehen sorgfältig mit Ihren Daten um. Und dieses Versprechen zahlt auf Vertrauen ein — gerade für kleine Betriebe, bei denen persönliche Beziehungen entscheidend sind.
Der Aufwand für die Grundlagen ist überschaubar. Die Alternative — ein Vorfall, eine Beschwerde oder ein Reputationsschaden — ist es deutlich weniger.
Sie wissen nicht, ob Ihr Betrieb gut aufgestellt ist? Im Rahmen unseres IT-Checks für CHF 390 prüfen wir auch den Umgang mit Personendaten in Ihrer IT-Infrastruktur — und zeigen Ihnen, wo konkreter Handlungsbedarf besteht.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Bei konkreten rechtlichen Fragen empfehlen wir, einen auf Datenschutz spezialisierten Anwalt beizuziehen.