01Das revidierte Datenschutzgesetz (nDSG) im Überblick
Am 1. September 2023 ist das totalrevidierte Bundesgesetz über den Datenschutz (DSG, oft nDSG genannt) in Kraft getreten. Es ersetzt das bisherige Datenschutzgesetz von 1992 und passt den Schweizer Datenschutz an die europäische Datenschutz-Grundverordnung (DSGVO) an -- ohne sie eins zu eins zu kopieren.
Für Selbständige und Inhaber von Einzelfirmen ist das relevant, weil das nDSG für alle gilt, die Personendaten bearbeiten -- unabhängig von der Unternehmensgrösse. Ob du als Freelancer Kundendaten in einer Excel-Tabelle verwaltest oder als Handwerker Adressen in deinem Telefon speicherst: Das nDSG betrifft dich.
Die wichtigsten Neuerungen auf einen Blick:
- Nur noch Daten natürlicher Personen geschützt (juristische Personen nicht mehr)
- Erweiterte Informationspflicht bei jeder Datenerhebung (Art. 19 DSG)
- Pflicht zur Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 22 DSG)
- Meldepflicht bei Datensicherheitsverletzungen an den EDÖB (Art. 24 DSG)
- Strafen bis CHF 250'000 für natürliche Personen bei vorsätzlichen Verstössen (Art. 60 ff. DSG)
- Profiling mit hohem Risiko erfordert ausdrückliche Einwilligung (Art. 6 Abs. 7 DSG)
- Privacy by Design und Privacy by Default als Grundsätze verankert (Art. 7 DSG)
02Bearbeitungsgrundsätze: Die Regeln im Alltag
Das nDSG definiert in Art. 6 die Grundsätze, nach denen Personendaten bearbeitet werden müssen. Diese Grundsätze gelten für jede Bearbeitung -- ob du Kundendaten erfasst, Newsletter versendest oder Bewerbungsunterlagen speicherst.
| Grundsatz | Bedeutung für Selbständige |
|---|---|
| Rechtmässigkeit (Art. 6 Abs. 1) | Personendaten dürfen nur rechtmässig bearbeitet werden. Datenbearbeitung ist erlaubt, wenn ein Rechtfertigungsgrund vorliegt (Einwilligung, Vertrag, überwiegendes Interesse oder gesetzliche Pflicht). |
| Treu und Glauben (Art. 6 Abs. 2) | Die Bearbeitung muss nachvollziehbar und fair sein. Keine versteckte Datensammlung. |
| Verhältnismässigkeit (Art. 6 Abs. 2) | Nur die Daten erheben, die für den Zweck tatsächlich nötig sind. Nicht «auf Vorrat» sammeln. |
| Zweckbindung (Art. 6 Abs. 3) | Daten nur für den Zweck verwenden, für den sie erhoben wurden. Kundenadressen für Rechnungen darfst du nicht einfach für Werbung nutzen. |
| Richtigkeit (Art. 6 Abs. 5) | Du musst sicherstellen, dass die Daten korrekt sind und bei Bedarf berichtigt werden. |
| Speicherbegrenzung (Art. 6 Abs. 4) | Daten löschen, sobald der Zweck erfüllt ist -- ausser es gibt eine gesetzliche Aufbewahrungspflicht (z.B. 10 Jahre für Buchungsbelege gemäss OR Art. 958f). |
03Informationspflicht und Datenschutzerklärung
Eine der wichtigsten Neuerungen des nDSG ist die erweiterte Informationspflicht (Art. 19--21 DSG). Bei jeder Beschaffung von Personendaten musst du die betroffene Person informieren -- nicht nur bei besonders schützenswerten Daten, wie es früher der Fall war.
Was du mitteilen musst (Art. 19 Abs. 2 DSG):
- Identität und Kontaktdaten des Verantwortlichen (also deine Firma und Adresse)
- Bearbeitungszweck: Wofür du die Daten verwendest
- Empfänger oder Kategorien von Empfängern: An wen du Daten weitergibst (z.B. Treuhänder, Hosting-Provider)
- Bei Auslandstransfer: In welches Land die Daten gehen und welche Schutzmassnahmen gelten
- Rechte der betroffenen Person: Auskunfts-, Berichtigungs- und Löschungsrecht
In der Praxis erfüllst du diese Pflicht am einfachsten mit einer Datenschutzerklärung auf deiner Website -- neben deinen AGB eines der wichtigsten rechtlichen Dokumente. Auch wenn du keine Website hast, musst du Kunden auf Anfrage informieren können.
Deine Datenschutzerklärung sollte folgende Punkte abdecken:
- Name und Kontaktdaten deiner Firma
- Welche Daten du erhebst (z.B. Name, E-Mail, Telefon, Zahlungsdaten)
- Zweck der Datenbearbeitung (Auftragsabwicklung, Buchhaltung, Newsletter)
- Rechtsgrundlage (Vertrag, Einwilligung, berechtigtes Interesse)
- Empfänger der Daten (Hosting-Anbieter, Buchhaltungssoftware, Behörden)
- Speicherdauer und Löschfristen
- Rechte der betroffenen Person (Auskunft, Berichtigung, Löschung, Widerspruch)
- Verwendung von Cookies und Tracking-Tools (falls zutreffend)
- Kontaktmöglichkeit für Datenschutzanfragen
04Verzeichnis der Bearbeitungstätigkeiten
Das nDSG führt die Pflicht ein, ein Verzeichnis der Bearbeitungstätigkeiten zu führen (Art. 12 DSG). Dieses Verzeichnis dokumentiert, welche Personendaten du bearbeitest, zu welchem Zweck und wie sie geschützt werden.
Die gute Nachricht für Selbständige: Es gibt eine KMU-Ausnahme. Unternehmen mit weniger als 250 Mitarbeitenden müssen das Verzeichnis nur führen, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen (Art. 12 Abs. 5 DSG).
Für die meisten Einzelfirmen bedeutet das: Du bist von der Pflicht befreit. Trotzdem empfiehlt es sich, ein einfaches Verzeichnis zu führen -- es hilft dir, den Überblick zu behalten und deine Informationspflicht zu erfüllen.
Ein minimales Verzeichnis enthält:
| Feld | Beispiel |
|---|---|
| Bearbeitungstätigkeit | Kundenadressverwaltung |
| Zweck | Auftragsabwicklung und Rechnungsstellung |
| Kategorien betroffener Personen | Kunden, Interessenten |
| Kategorien von Personendaten | Name, Adresse, E-Mail, Telefon |
| Empfänger | Buchhaltungssoftware (einzly), Hosting (Vercel) |
| Aufbewahrungsdauer | 10 Jahre (gesetzliche Aufbewahrungspflicht) |
| Technische Schutzmassnahmen | Verschlüsselung, Passwortschutz, Backups |
05Auftragsbearbeitung und Drittanbieter
Wenn du Personendaten durch Dritte bearbeiten lässt -- zum Beispiel durch eine Cloud-Buchhaltungssoftware, einen Newsletter-Dienst oder einen Hosting-Provider --, spricht man von Auftragsbearbeitung (Art. 9 DSG). Du bleibst als Verantwortlicher für den Datenschutz zuständig.
Die wichtigsten Pflichten bei der Auftragsbearbeitung:
- Du darfst die Bearbeitung nur an Dritte übertragen, die einen angemessenen Datenschutz gewährleisten
- Die Bearbeitung darf vertraglich oder gesetzlich nicht untersagt sein
- Du musst dich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann
- Der Auftragsbearbeiter darf die Daten nur so bearbeiten, wie du es selbst dürftest
- Die Weiterübertragung an Sub-Auftragsbearbeiter bedarf deiner Genehmigung
In der Praxis schliesst du einen Auftragsbearbeitungsvertrag (AVV oder Data Processing Agreement, DPA) mit dem jeweiligen Anbieter ab. Die meisten seriösen Cloud-Dienste bieten standardmässig einen AVV an.
06Strafen bei Verstössen: Bis CHF 250'000
Ein wesentlicher Unterschied zur DSGVO: Im Schweizer nDSG werden nicht Unternehmen gebüsst, sondern natürliche Personen -- also du als Inhaber der Einzelfirma persönlich. Die Bussen können bis CHF 250'000 betragen (Art. 60--63 DSG).
Strafbar sind folgende vorsätzliche Verstösse:
| Verstoss | Artikel | Maximale Busse |
|---|---|---|
| Verletzung der Informationspflicht | Art. 60 Abs. 1 lit. a DSG | CHF 250'000 |
| Verletzung der Auskunftspflicht | Art. 60 Abs. 1 lit. a DSG | CHF 250'000 |
| Verletzung der Sorgfaltspflicht bei Auslandsübermittlung | Art. 61 DSG | CHF 250'000 |
| Verletzung der Pflichten bei Auftragsbearbeitung | Art. 61 DSG | CHF 250'000 |
| Verletzung der Datensicherheit (Mindestanforderungen) | Art. 61 DSG | CHF 250'000 |
| Missachtung von Verfügungen des EDÖB | Art. 63 DSG | CHF 250'000 |
| Verletzung der beruflichen Schweigepflicht | Art. 62 DSG | CHF 250'000 |
Wichtig: Der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) kann Untersuchungen einleiten, Empfehlungen aussprechen und Verfügungen erlassen. Die Strafverfolgung obliegt den kantonalen Strafbehörden.
07Praktische Checkliste: nDSG für deine Einzelfirma
Datenschutz muss nicht kompliziert sein. Die folgende Checkliste hilft dir, die wichtigsten Anforderungen des nDSG zu erfüllen -- ohne Jurastudium.
Erstelle eine Datenschutzerklärung für deine Website (falls vorhanden) und halte sie griffbereit für Kundenanfragen. Sie muss Identität des Verantwortlichen, Bearbeitungszwecke, Empfänger und Rechte der Betroffenen enthalten.
Auch wenn du als KMU unter 250 MA davon befreit bist: Dokumentiere in einer einfachen Tabelle, welche Daten du zu welchem Zweck bearbeitest. Das hilft bei Auskunftsanfragen.
Prüfe bei allen Cloud-Diensten (Buchhaltung, E-Mail, Hosting, CRM), ob ein AVV/DPA vorhanden ist. Seriöse Anbieter wie einzly stellen diese standardmässig bereit.
Setze grundlegende technische Massnahmen um: starke Passwörter, Zwei-Faktor-Authentifizierung (2FA), verschlüsselte Datenübertragung (HTTPS), regelmässige Backups, aktuelle Software.
Lege fest, wann du welche Daten löschst. Kundendaten nach Vertragsende? Bewerbungsunterlagen nach 3 Monaten? Buchungsbelege nach 10 Jahren? Dokumentiere die Fristen.
Kunden haben das Recht auf Auskunft, Berichtigung und Löschung. Richte einen einfachen Prozess ein: Wer beantwortet Anfragen, innert welcher Frist (gesetzlich: 30 Tage), in welcher Form?
Falls Daten gestohlen oder versehentlich veröffentlicht werden, musst du den EDÖB so rasch wie möglich informieren (Art. 24 DSG). Halte die Kontaktdaten des EDÖB bereit und überlege dir vorab, wen du im Notfall kontaktierst.