Das revidierte Datenschutzgesetz ist seit September 2023 in Kraft. Drei Jahre später wissen wir, welche Pflichten in der Praxis greifen, was du tun musst und wo viel Lärm um nichts gemacht wurde.
Disclaimer vorab: Wir sind keine Anwälte. Dieser Text ist eine praktische Einordnung für Handwerksbetriebe, kein Rechtsgutachten. Bei konkreten Streitfällen frag deinen Anwalt oder den Eidgenössischen Datenschutzbeauftragten (EDÖB).
Mit diesem Hinweis erledigt: Das revidierte Datenschutzgesetz, kurz revDSG, gilt seit dem 1. September 2023. Es betrifft jeden, der personenbezogene Daten bearbeitet, also auch dich, wenn du Kundenadressen, Mitarbeiterakten oder Lieferantenkontakte führst. Das ist faktisch jeder Handwerksbetrieb.
Das alte DSG war von 1992 und für eine Welt ohne Smartphones, Cloud und KI gemacht. Das revDSG bringt vier wesentliche Neuerungen, die dich als Inhaber direkt betreffen:
Der letzte Punkt ist der, der Geschäftsführer am meisten erstaunt. Bußen unter revDSG treffen die natürliche Person, die für den Verstoß verantwortlich ist. Das kann der Inhaber sein, der IT-Leiter oder, im Wiederholungsfall, beide.
Du bist Datenbearbeiter (offiziell: „Verantwortlicher“) für alles, was du über Personen speicherst. Im typischen Handwerksbetrieb sind das mindestens:
Für jeden dieser Bereiche musst du wissen, wo die Daten liegen, wer Zugriff hat, wie lange du sie aufbewahrst und wann du sie löschst. Das klingt nach Bürokratie. In der Praxis ist es eine zweiseitige Liste, die du einmal anlegst und alle paar Jahre überprüfst.
Das revDSG verlangt ein Bearbeitungsverzeichnis ab 250 Mitarbeitern. KMU mit weniger Mitarbeitern sind grundsätzlich befreit, mit zwei Ausnahmen:
Heisst: Die meisten Handwerksbetriebe sind formell nicht zum Bearbeitungsverzeichnis verpflichtet. Trotzdem empfehlen wir dir, eines zu führen. Eine knapp gehaltene Liste mit den oben genannten Datenkategorien spart dir bei einer behördlichen Anfrage Wochen.
Sobald du eine Software nutzt, die deine Daten verarbeitet (also alles ab Cloud-Buchhaltung), musst du mit dem Anbieter einen Auftragsverarbeitungsvertrag haben. Den schließt du normalerweise nicht aktiv ab, sondern akzeptierst ihn als Teil der AGB. Das ist legitim, solange er die Pflichtbestandteile enthält.
Pflichtbestandteile eines revDSG-konformen AVV:
Wenn du eine neue Software einkaufst, frag aktiv nach dem AVV. Seriöse Anbieter haben ihn auf der Website verlinkt oder schicken ihn auf Anfrage. Wenn du eine ausweichende Antwort bekommst, ist das ein deutliches Warnsignal.
Das revDSG verlangt nicht zwingend Schweizer Hosting. Daten dürfen ins Ausland übermittelt werden, wenn dort ein angemessenes Datenschutzniveau besteht. Der Bundesrat veröffentlicht eine Liste der akzeptierten Länder, sie umfasst die EU, Großbritannien, Argentinien, Kanada und einige weitere.
Trotzdem ist Schweizer Hosting in den letzten zwei Jahren zum echten Verkaufsargument geworden, aus drei Gründen:
balio läuft komplett auf Schweizer Servern. Audiodaten für Sprachrapporte werden für die Transkription verarbeitet und danach nicht dauerhaft gespeichert. Wir nutzen deine Daten nicht zum Training fremder Modelle. Diese Punkte sind explizit im AVV festgehalten.
Wenn dir Daten abhanden kommen, etwa weil ein Laptop mit unverschlüsselter Kundendatei gestohlen wird oder ein Mitarbeiter eine Mail an den falschen Verteiler schickt, musst du das melden. An den EDÖB, sobald die Verletzung wahrscheinlich zu einem hohen Risiko für die Persönlichkeit der Betroffenen führt. „Möglichst rasch“ heißt im Klartext: innerhalb weniger Tage.
Praktische Konsequenz: Du solltest wissen, wer in deinem Betrieb solche Vorfälle aufnimmt, dokumentiert und meldet. Bei einem 5-Mann-Betrieb ist das du selbst. Bei 30 Mitarbeitern lohnt sich eine kleine Vorlage, die jeder Vorarbeiter hat.
Bußen bis CHF 250.000 stehen im Gesetz, treffen aber in der Praxis Wiederholungstäter und vorsätzliche Verstöße. Beim ersten kleinen Fehler eines KMU passiert in der Regel: Anhörung durch den EDÖB, Empfehlung zur Verbesserung, wirksame Frist. Erst wenn du diese ignorierst, kommt es zur Buße. Das System ist nicht auf Schikane ausgelegt, sondern auf Verbesserung. Trotzdem ist die Buße bei Vorsatz oder grober Fahrlässigkeit erheblich.
Wenn du einen Vormittag investieren willst und das Thema dann erledigt haben möchtest:
revDSG ist keine Bedrohung für Handwerksbetriebe, sondern eine Aufforderung, ein paar Sachen sauber aufzuschreiben, die du eh schon weisst. Wer in der Wahl seiner Software auf Schweizer Hosting und einen sauberen AVV achtet, hat 80 Prozent der Pflichten implizit erledigt.
Was du als nächstes tun kannst:
balio läuft auf Schweizer Servern, mit AVV nach revDSG, ohne Tracking. 14 Tage gratis testen, ohne Kreditkarte.