Viele Geschäftsführer glauben, das Thema Datenschutz sei mit einer Datenschutzerklärung auf der Webseite und ein paar internen Weisungen erledigt. In der Praxis zeigt sich jedoch etwas anderes: Wenn das revidierte Datenschutzgesetz (DSG) für ein KMU tatsächlich relevant wird – etwa bei einer Anfrage einer betroffenen Person, einem Lieferantenwechsel oder einem Vorfall mit Datenverlust – scheitert es fast nie an der Rechtslage. Es scheitert daran, dass niemand im Betrieb genau weiss, wo welche Daten liegen, wer darauf zugreifen kann und wie lange sie überhaupt aufbewahrt werden dürfen.
Das ist der Kern des Problems: DSG-Konformität wird oft als juristische Aufgabe verstanden und entsprechend an einen Anwalt oder eine Vorlage aus dem Internet delegiert. Die eigentliche Arbeit liegt aber in der IT-Organisation. Zugriffsrechte, die beim Austritt eines Mitarbeitenden nie entzogen wurden. Kundendaten, die auf drei verschiedenen Cloud-Diensten, einem lokalen Server und ein paar Laptops verteilt liegen, ohne dass jemand eine Übersicht hat. Externe Dienstleister, die im Hintergrund als Auftragsbearbeiter tätig sind, ohne dass ein entsprechender Vertrag besteht. Backups, die automatisch bei einem Anbieter mit Sitz ausserhalb der Schweiz landen, weil das bei der Einrichtung niemand hinterfragt hat.
Diese Lücken sind nicht dramatisch, solange nichts passiert. Genau das macht sie teuer: Sie bleiben über Jahre unbemerkt, wachsen mit jedem neuen Tool und jeder neuen Mitarbeiterin weiter an – und werden erst sichtbar, wenn es konkret wird. Dann zeigt sich, dass das Aufräumen im Nachhinein ungleich aufwendiger ist, als von Anfang an eine saubere Struktur zu pflegen. Eine Anfrage zur Auskunft über gespeicherte Personendaten etwa verlangt, dass ein Unternehmen innert nützlicher Frist sagen kann, welche Daten zu einer Person wo liegen. Ohne Datenlandkarte wird daraus eine zeitintensive Suche durch Systeme, E-Mail-Postfächer und Excel-Listen – mit entsprechendem Aufwand für die Geschäftsleitung und oft auch für extern beigezogene Fachpersonen.
Die gute Nachricht: Der grösste Teil der Arbeit lässt sich lösen, ohne dass Sie sich tief in die Gesetzestexte einarbeiten müssen. Es geht darum, die IT so zu organisieren, dass jederzeit nachvollziehbar ist, wo Daten gespeichert sind, wer darauf zugreifen darf und wie lange sie aufbewahrt werden. Dazu gehört eine aktuelle Übersicht über alle Systeme, in denen Personendaten verarbeitet werden, ein Zugriffskonzept, das regelmässig überprüft und bei Personalwechseln sofort angepasst wird, sowie klare Aufbewahrungs- und Löschregeln statt eines «wir behalten alles für immer». Ebenso wichtig ist ein Überblick darüber, welche externen Dienstleister – von der Buchhaltungssoftware bis zum Cloud-Speicher – Zugriff auf Personendaten haben und ob dafür die nötigen vertraglichen Grundlagen bestehen. Rechtliche Details dazu sollten Sie im Einzelfall mit einer Fachperson klären; dieser Beitrag ersetzt keine Rechtsberatung, zeigt aber, wo die organisatorischen Hausaufgaben liegen.
Bei padcom unterstützen wir Sie dort, wo die eigentliche Arbeit anfällt: in der technischen Umsetzung. Unsere Cloud-Server-Lösungen laufen in Schweizer Rechenzentren von NTT, Digital Realty und Green, sodass Sie jederzeit wissen, wo Ihre Daten physisch liegen. Bei Backup & Datensicherheit dokumentieren wir transparent, wo die Sicherungen gespeichert werden, statt dass das irgendwo in einer Standardkonfiguration verschwindet. Weil bei uns das gleiche Team über die ganze Vertragslaufzeit für Sie zuständig ist, kennt dieses Team Ihre Infrastruktur und kann Ihnen auf konkrete Fragen – etwa «wo liegen unsere Kundendaten eigentlich alle» – eine fundierte Antwort geben, statt Sie an eine Hotline zu verweisen. Das ersetzt keine rechtliche Beurteilung, schafft aber die technische Grundlage, auf der eine saubere DSG-Organisation aufbaut.
Häufige Fragen
Brauchen auch kleine KMU eine DSG-konforme IT-Organisation?
Ja, das Datenschutzgesetz unterscheidet nicht nach Unternehmensgrösse, sondern danach, ob und wie Personendaten bearbeitet werden. Auch ein kleiner Betrieb mit Kunden-, Mitarbeiter- oder Lieferantendaten ist betroffen. Der Aufwand für eine saubere Organisation ist bei kleineren Strukturen meist überschaubar, wenn man früh damit beginnt.
Was bedeutet es, wenn ein Cloud-Anbieter als Auftragsbearbeiter gilt?
Ein Auftragsbearbeiter ist ein externer Dienstleister, der in Ihrem Auftrag Personendaten verarbeitet, etwa ein Cloud-Speicher oder eine Buchhaltungssoftware. In solchen Fällen braucht es in der Regel eine vertragliche Regelung, die festhält, wie dieser Dienstleister mit den Daten umgehen darf. Ob und in welcher Form das bei Ihren konkreten Dienstleistern der Fall ist, sollten Sie im Zweifel rechtlich abklären lassen.
Wie lange müssen Geschäftsdaten aufbewahrt werden?
Es gibt unterschiedliche Aufbewahrungspflichten, etwa aus dem Obligationenrecht oder dem Steuerrecht, die sich von datenschutzrechtlichen Überlegungen unterscheiden. Pauschale Fristen lassen sich daher nicht seriös nennen, sie hängen von der Art der Daten und dem Kontext ab. Eine klare interne Regelung, die für die wichtigsten Datenarten festlegt, wie lange sie aufbewahrt und wann sie gelöscht werden, ist in jedem Fall sinnvoll.
Ist ein Backup im Ausland automatisch ein Problem?
Nicht automatisch, aber es ist ein Punkt, den Sie kennen und bewusst entscheiden sollten, statt dass er sich zufällig aus einer Standardeinstellung ergibt. Je nach Art der Daten und des Ziellands können zusätzliche Anforderungen gelten. Wichtig ist in erster Linie, dass Sie überhaupt wissen, wo Ihre Sicherungskopien physisch liegen.
Wer in unserem Unternehmen sollte sich um Datenschutz kümmern?
Es braucht keine eigene Stelle, aber eine klar verantwortliche Person, die den Überblick über Datenflüsse, Zugriffsrechte und Lieferantenverträge behält. In vielen KMU übernimmt das die Geschäftsleitung zusammen mit dem IT-Partner, der die technische Umsetzung kennt. Entscheidend ist, dass diese Verantwortung nicht irgendwo zwischen Fachbereichen verloren geht.
Wenn Sie nicht sicher sind, wo in Ihrem Unternehmen die grössten organisatorischen Lücken liegen, sprechen Sie mit uns. In einem unverbindlichen, kostenlosen Erstgespräch schauen wir gemeinsam auf Ihre heutige IT-Situation und zeigen auf, wo sich mit überschaubarem Aufwand die grösste Wirkung erzielen lässt.
Autor: padcom News Team
Wie steht Ihre IT heute da?
Der IT-Sicherheitscheck gibt Ihnen in wenigen Minuten eine Einschätzung mit Punktzahl und einen Bericht dazu. Kostenlos, ohne Verkaufsgespräch. Wir führen ihn gemeinsam mit Landtwing Informatik durch.
Nächster Schritt
Fragen zu diesem Thema? Sprechen wir darüber.
Besprechen Sie Ihre Situation direkt mit uns – im kostenlosen und unverbindlichen Erstgespräch. Online-Termin wählen, und wir melden uns pünktlich bei Ihnen.