Das revidierte Datenschutzgesetz ist seit September 2023 in Kraft. Zweieinhalb Jahre später wissen wir, welche Pflichten in der Praxis greifen, was du tun musst und wo viel Lärm um nichts gemacht wurde.
Disclaimer vorab: Wir sind keine Anwälte. Dieser Text ist eine praktische Einordnung für Handwerksbetriebe, kein Rechtsgutachten. Bei konkreten Streitfällen frag deinen Anwalt oder den Eidgenössischen Datenschutzbeauftragten (EDÖB).
Mit diesem Hinweis erledigt: Das revidierte Datenschutzgesetz, kurz revDSG, gilt seit dem 1. September 2023. Es betrifft jeden, der personenbezogene Daten bearbeitet, also auch dich, wenn du Kundenadressen, Mitarbeiterakten oder Lieferantenkontakte führst. Das ist faktisch jeder Handwerksbetrieb.
Das alte DSG war von 1992 und für eine Welt ohne Smartphones, Cloud und KI gemacht. Das revDSG bringt vier wesentliche Neuerungen, die dich als Inhaber direkt betreffen:
Der letzte Punkt ist der, der Geschäftsführer am meisten erstaunt. Bussen unter revDSG treffen die natürliche Person, die für den Verstoss verantwortlich ist. Das kann der Inhaber sein, der IT-Leiter oder, im Wiederholungsfall, beide.
Du bist «Verantwortlicher» im Sinn des revDSG für alles, was du über Personen speicherst. Im typischen Handwerksbetrieb sind das mindestens:
Für jeden dieser Bereiche musst du wissen, wo die Daten liegen, wer Zugriff hat, wie lange du sie aufbewahrst und wann du sie löschst. Das klingt nach Bürokratie. In der Praxis ist es eine zweiseitige Liste, die du einmal anlegst und alle paar Jahre überprüfst.
Grundsätzlich verlangt das revDSG ein Bearbeitungsverzeichnis von allen Verantwortlichen und Auftragsbearbeitern. Die Datenschutzverordnung (DSV) sieht in Art. 24 aber eine Ausnahme für KMU vor: Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, sofern ihre Datenbearbeitung nur ein geringes Risiko für die Persönlichkeit der Betroffenen mit sich bringt.
«Geringes Risiko» ist ein unbestimmter Rechtsbegriff, fällt aber praktisch weg, sobald du:
Heisst: Die meisten kleineren Handwerksbetriebe können sich auf die KMU-Ausnahme stützen. Trotzdem empfehlen wir, ein knapp gehaltenes Verzeichnis zu führen. Eine zweiseitige Liste mit den oben genannten Datenkategorien spart dir bei einer behördlichen Anfrage Wochen.
Sobald du eine Software nutzt, die deine Daten verarbeitet (also alles ab Cloud-Buchhaltung), musst du mit dem Anbieter einen Auftragsverarbeitungsvertrag haben. Den schliesst du normalerweise nicht aktiv ab, sondern akzeptierst ihn als Teil der AGB. Das ist legitim, solange er die Pflichtbestandteile enthält.
Pflichtbestandteile eines revDSG-konformen AVV:
Wenn du eine neue Software einkaufst, frag aktiv nach dem AVV. Seriöse Anbieter haben ihn auf der Website verlinkt oder schicken ihn auf Anfrage. Wenn du eine ausweichende Antwort bekommst, ist das ein deutliches Warnsignal.
Das revDSG verlangt nicht zwingend Schweizer Hosting. Daten dürfen ins Ausland übermittelt werden, wenn dort ein angemessenes Datenschutzniveau besteht. Der Bundesrat veröffentlicht eine Liste der akzeptierten Länder. Sie umfasst unter anderem die EU, das Vereinigte Königreich, Argentinien, Kanada sowie seit dem 15. September 2024 die USA, sofern der jeweilige Empfänger nach dem Swiss-US Data Privacy Framework zertifiziert ist.
Trotzdem ist Schweizer Hosting in den letzten zwei Jahren zum echten Verkaufsargument geworden, aus drei Gründen:
balio läuft mit Stammdaten, Rapporten und Rechnungen auf Servern in Zürich. Audiodaten für Sprachrapporte werden zur Transkription an einen spezialisierten Sub-Auftragsverarbeiter (Google Gemini Live, EU/USA, abgedeckt durch Adäquanzbeschluss bzw. Swiss-US Data Privacy Framework) übergeben und danach nicht dauerhaft gespeichert. Eure Daten werden nicht zum Training fremder Modelle verwendet. Diese Punkte sind explizit im AVV und im Verzeichnis der Sub-Auftragsverarbeiter festgehalten.
Wenn dir Daten abhanden kommen, etwa weil ein Laptop mit unverschlüsselter Kundendatei gestohlen wird oder ein Mitarbeiter eine Mail an den falschen Verteiler schickt, musst du das melden. An den EDÖB, sobald die Verletzung wahrscheinlich zu einem hohen Risiko für die Persönlichkeit der Betroffenen führt. «Möglichst rasch» heisst im Klartext: innerhalb weniger Tage.
Praktische Konsequenz: Du solltest wissen, wer in deinem Betrieb solche Vorfälle aufnimmt, dokumentiert und meldet. Als Einzelfirma oder Fünf-Personen-Betrieb bist das du selbst. Ab rund zehn Mitarbeitenden lohnt sich eine kleine Vorlage, die jeder Vorarbeiter hat.
Bussen bis CHF 250'000 stehen im Gesetz, treffen aber in der Praxis Wiederholungstäter und vorsätzliche Verstösse. Beim ersten kleinen Fehler eines KMU passiert in der Regel: Anhörung durch den EDÖB, Empfehlung zur Verbesserung, wirksame Frist. Erst wenn du diese ignorierst, kommt es zur Busse. Das System ist nicht auf Schikane ausgelegt, sondern auf Verbesserung. Trotzdem ist die Busse bei Vorsatz oder grober Fahrlässigkeit erheblich.
Wenn du einen Vormittag investieren willst und das Thema dann erledigt haben möchtest:
revDSG ist keine Bedrohung für Handwerksbetriebe, sondern eine Aufforderung, ein paar Sachen sauber aufzuschreiben, die du eh schon weisst. Wer in der Wahl seiner Software auf Schweizer Hosting und einen sauberen AVV achtet, hat 80 Prozent der Pflichten implizit erledigt.
Was du als nächstes tun kannst:
balio läuft auf Servern in Zürich, mit AVV nach revDSG und ohne Cookie-Tracking. 14 Tage gratis testen, danach ab CHF 49 / Monat.