nDSG: Was der neueste EDÖB-Bericht für KMU verrät

Im September 2023 in Kraft getreten, hat das neue Datenschutzgesetz (nDSG) die Schweizer Regeln für die Bearbeitung von Personendaten modernisiert. Knapp drei Jahre später erlaubt der Tätigkeitsbericht des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, die Bundesbehörde, die über die Einhaltung dieses Gesetzes wacht) eine erste konkrete Bilanz. Und er hält einige wertvolle Lehren für die Leitung von KMU bereit.

Zahlen, die für sich sprechen

Im Berichtszeitraum hat der EDÖB nach eigenen Angaben mehr als 2000 Meldungen möglicher Datenschutzverletzungen erhalten. Eine Datenschutzverletzung bezeichnet jeden Vorfall, der Personendaten einem unbefugten Zugriff, einem Verlust oder einer Offenlegung aussetzt: ein Leck nach einem Hackerangriff, eine an den falschen Empfänger gesendete E-Mail, ein verlorener Laptop.

Angesichts dieser Meldungen ist die Behörde 156 Mal bei den betroffenen Verantwortlichen eingeschritten, hat 22 Vorabklärungen durchgeführt und 9 formelle Untersuchungen eröffnet. Die meisten Fälle wurden einvernehmlich geregelt, ohne streitiges Verfahren. Der EDÖB weist zudem darauf hin, dass ein im Oktober 2025 ergangenes Urteil des Bundesverwaltungsgerichts seine Praxis bestätigt und damit die Rechtssicherheit bei der Anwendung des revidierten Gesetzes gestärkt hat.

Der oft missverstandene Punkt: Wer die Busse zahlt

Dies ist zweifellos der wichtigste Punkt für ein KMU und zugleich der am häufigsten falsch verstandene. Anders als die europäische DSGVO (die Datenschutz-Grundverordnung, die in der Europäischen Union gilt) sieht das nDSG keine Verwaltungsbussen vor, die eine Behörde dem Unternehmen direkt auferlegt.

Der EDÖB selbst verhängt keine Bussen. Seine Aufgabe ist es, zu untersuchen, Empfehlungen auszusprechen und bei Bedarf Massnahmen zur Herstellung der Rechtskonformität anzuordnen. Die finanziellen Sanktionen fallen dagegen unter das Strafrecht: Sie können bis zu 250’000 Franken betragen und werden von der Strafjustiz ausgesprochen. Vor allem richten sie sich gegen die für den Verstoss verantwortliche natürliche Person, also eine Führungskraft oder eine angestellte Person, und nicht gegen das Unternehmen als solches.

Mit anderen Worten: In der Schweiz ist das Risiko nicht nur institutioneller Natur, es kann persönlich sein. Diese Besonderheit sollte jeder Person bekannt sein, die darüber entscheidet, wie die Daten im Unternehmen bearbeitet werden.

Die grundlegenden Anliegen des EDÖB

Über die Statistiken hinaus weist der Bericht auf grundlegende Tendenzen hin. Der EDÖB stellt fest, dass Verwaltung und Organisationen die offensichtlichen technischen Bedrohungen wie Datenlecks zu bewältigen wissen, sich aber schwerer damit tun, das Überwachungspotenzial umfangreicher, grossflächiger Datenbearbeitungen zu erfassen. Er stellt zudem eine Schwächung des Transparenzprinzips nach zwanzig Jahren seines Bestehens fest, mit einer Zunahme von Ausnahmen, die den Zugang zu amtlichen Dokumenten einschränken.

Für ein KMU ist die implizite Botschaft klar: Rechtskonformität bedeutet nicht bloss, nach einem Vorfall Kästchen abzuhaken. Sie setzt voraus, im Vorfeld darüber nachzudenken, was man erhebt, warum und für wie lange.

Was das konkret für Ihr Unternehmen bedeutet

Das nDSG gilt für nahezu jedes Unternehmen, unabhängig von seiner Grösse, sobald es Personendaten bearbeitet: Kundschaft, Mitarbeitende, Lieferanten. Mehrere Pflichten liegen unmittelbar in Ihrer Reichweite. Sie können ein Verzeichnis Ihrer Bearbeitungstätigkeiten führen (die Liste dessen, was Sie erheben und wie Sie es verwenden), eine klare Datenschutzerklärung verfassen und vor allem wissen, wie Sie im Fall einer Verletzung reagieren, denn das Gesetz verlangt, dem EDÖB Verletzungen, die voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringen, so rasch wie möglich zu melden.

Diese Schritte können Sie weitgehend selbst in Angriff nehmen. Doch sie genügen nicht, um Ihre Rechtskonformität zu gewährleisten. Die Schwierigkeit besteht nicht darin, die Grundsätze zu kennen, sondern sie auf Ihre Realität anzuwenden: Welche Bearbeitungen führen Sie genau durch, welche Auftragsbearbeiter sind beteiligt, welche besonders schützenswerten Daten verarbeiten Sie, welches Risikoniveau ergibt sich daraus. Diese Antworten sind für jedes Unternehmen spezifisch und lassen sich nicht aus einer generischen Vorlage improvisieren.

Fazit

Der Bericht des EDÖB bestätigt einen pragmatischen Schweizer Ansatz, der auf Dialog und Herstellung der Rechtskonformität setzt statt auf systematische Sanktionen. Doch er erinnert auch daran, dass die Verantwortung auf den Personen lasten kann und dass Datenschutz eine fortlaufende Aufgabe ist. Die Grundlagen selbst zu legen ist unerlässlich und erreichbar. Um aus diesen Grundlagen eine solide und auf Ihre Tätigkeit zugeschnittene Rechtskonformität zu machen, bleibt eine professionelle Analyse Ihrer Datenbearbeitungen der sicherste Weg, um gelassen voranzuschreiten.