nDSG KMU Checkliste: Pflichten im Überblick

nDSG KMU Checkliste: was gilt für Sie?

Die nDSG Pflichten für KMU mit rund 20 bis 250 Mitarbeitenden bedeuten: Personendaten rechtmässig bearbeiten, sie mit angemessenen Massnahmen schützen, Betroffene informieren und schwere Datenpannen dem EDÖB so rasch als möglich melden, wenn ein hohes Risiko wahrscheinlich ist. Seit dem revidierten Datenschutzgesetz vom 1. September 2023 gibt es keine Ausnahme nur wegen der Firmengrösse, aber viele Formalien der Grosskonzerne sind für Sie optional.

Diese Checkliste richtet sich an Geschäftsleitung, HR und die Person, die IT nebenbei mitbetreut. Es ist eine Einordnung, keine Rechtsberatung. Branchenregeln, EU-Kunden und Arbeitsrecht können Zusatzpflichten bringen.

• Seit1.9.2023

  Revidiertes DSG und neue DSV gelten für alle Betriebe, unabhängig von der Grösse.

• VerzeichnisOft entbehrlich

  Unter 250 Mitarbeitenden am 1. Januar, ohne grosses Profiling mit hohem Risiko und ohne besonders schützenswerte Daten in grossem Umfang.

• MeldungBei hohem Risiko

  EDÖB nur, wenn die Persönlichkeit oder Grundrechte wahrscheinlich gefährdet sind, und so rasch als möglich.

• SicherheitArt. 8 DSG

  Technische und organisatorische Massnahmen passend zum Risiko, nicht ein Konzern-Handbuch zum Abkopieren.

Was sich seit September 2023 geändert hat

Das revidierte Gesetz verschärft vor allem Transparenz, Sicherheit und Meldepflichten bei Datenpannen. Betroffene sollen verstehen, was mit ihren Daten passiert. Sie sollen bei Verletzungen informiert werden, wenn das Risiko hoch ist. Die Bussenregel richtet sich gegen natürliche Personen bei Vorsatz, nicht gegen anonyme «Firmenstrafen» wie in der DSGVO.

Für ein KMU heisst das selten ein neues Departement. Es heisst: wissen, welche Systeme Personendaten enthalten, wer Zugriff hat, welche Verträge mit Cloud-Anbietern gelten, und wie jemand einen Fehler meldet, ohne Angst vor dem Chef.

Was das DSG im Büroalltag verlangt

Das Gesetz gilt, sobald Sie Personendaten von Kunden, Bewerbern, Mitarbeitenden oder Lieferanten bearbeiten. Dazu gehören CRM, Lohn, Kamera am Eingang, Newsletter und Dateien auf dem Fileserver. Grundsätze wie Zweckbindung, Datenminimierung und Richtigkeit stehen in Art. 6 DSG. Die Datensicherheit regelt Art. 8 DSG: technische und organisatorische Massnahmen passend zum Risiko.

Für viele KMU heisst das: Zugriffe in der Cloud steuern, Backups, klare Rollen für Exporte, Verträge mit IT- und SaaS-Partnern und Mitarbeitende, die Fehler melden. Eine schriftliche Kurzregel hilft; Schweigen im Team nicht.

• Systeme mit Personendaten kennen und jährlich kurz prüfen
• Zugriff nach Rolle; beim Austritt innert Tagen entziehen
• Datenschutzerklärung auf der Website und für Bewerbungen
• Auftragsbearbeitungsverträge mit Cloud, Lohnbüro und Newsletter
• Interner Meldeweg mit einer benannten Person
• Aufbewahrung und Löschung, die Sie erklären können
• Schulung oder Briefing für alle, die Daten berühren

Verzeichnis der Bearbeitungstätigkeiten: oft entbehrlich

Nach Art. 24 DSV sind Betriebe mit weniger als 250 Mitarbeitenden per 1. Januar von der vollständigen Verzeichnispflicht befreit, sofern sie keine besonders schützenswerten Daten in grossem Umfang bearbeiten und kein risikoreiches Profiling betreiben. Personalvermittlung, Praxis oder Versicherung können trotzdem ein Verzeichnis brauchen. Ein Handels- oder Dienstleistungsbetrieb mit 40 Personen führt oft eine leichte Übersicht: Systeme, Zwecke, Fristen reichen für den Alltag, auch wenn die formale Pflicht entfällt.

Grosse Kunden verlangen manchmal trotzdem ein Verzeichnis im Lieferantenfragebogen. Eine vereinfachte Tabelle ist möglich, ohne sich als Konzern auszugeben. Ob ein konkreter Vertrag trotz gesetzlicher Befreiung ein vollständiges Verzeichnis verlangt, hängt vom Text ab. Das können wir hier nicht pauschal beantworten.

Wann die Befreiung vom Verzeichnis wegfällt

Besonders schützenswerte Personendaten (Gesundheit, Religion, strafrechtliche Verurteilungen und ähnliche Kategorien) in grossem Umfang oder automatisierte Einzelentscheidungen mit hohem Risiko können die Befreiung kippen. Ein Büro mit Standard-Kundenakten und Lohn ohne Gesundheitsdaten liegt oft ausserhalb dieses Bereichs. Eine Praxis, die täglich Patientendaten bearbeitet, nicht.

Wenn Sie unsicher sind, ob Ihr Betrieb «grossen Umfang» erreicht, ist das ein Punkt für die Beratung, nicht für eine Checkliste im Blog.

Datenschutzerklärung und Transparenz

Betroffene sollen wissen, wer Daten bearbeitet, wofür, wie lange und an wen sie weitergegeben werden. Eine Datenschutzerklärung auf der Website und ein kurzer Hinweis im Bewerbungsprozess decken den Alltag ab. Sie muss zum revidierten Gesetz passen, nicht nur zum alten DSG von 1992.

Datenpannen und Aufzeichnung

Eine Datensicherheitsverletzung ist nicht immer meldepflichtig. Den EDÖB informieren Sie nur bei wahrscheinlich hohem Risiko für die Persönlichkeit oder Grundrechte, und so rasch als möglich, nicht innert 72 Stunden wie bei der DSGVO. Intern dokumentieren Sie Vorfälle in jedem Fall; die Aufzeichnung bewahren Sie mindestens zwei Jahre ab Meldung, wo anwendbar (Art. 15 DSV).

Ergänzen Sie diese Liste mit E-Mail an den falschen Empfänger und Datenpanne an den EDÖB melden.

Rechte der betroffenen Personen

Betroffene können Auskunft verlangen, Berichtigung oder Löschung, wo das Gesetz es erlaubt, und in definierten Fällen widersprechen. Sie brauchen einen Ablauf: wer die Anfrage erhält, wie Sie die Identität prüfen, welche Fristen realistisch sind. Ein Portal ist nicht Pflicht; eine Mail an eine benannte Kontaktstelle reicht vielen KMU.

Auftragsbearbeitung und Cloud

Bearbeitet ein Partner Daten in Ihrem Auftrag, verlangt Art. 9 DSG einen Vertrag zu Gegenstand, Dauer, Datenarten und Sicherheit. Microsoft 365, Lohnbüros und Newsletter-Tools zählen dazu. Sammeln Sie die Standard-AVVs und notieren Sie, wo Daten liegen.

Cyber-Meldepflicht: meist nicht Ihr Thema

Seit 1. April 2025 gilt für bestimmte Betreiber kritischer Infrastruktur eine Meldepflicht bei Cyberangriffen. Die meisten KMU mit 20 bis 250 Mitarbeitenden fallen nicht darunter. Ihre Pflichten kommen weiterhin aus dem DSG, nicht aus dieser Meldepflicht.

Wer intern verantwortlich ist

Das Gesetz verlangt nicht in jedem KMU einen Datenschutzbeauftragten wie in Deutschland. Die Geschäftsleitung soll Prioritäten, Budget und Eskalation steuern. HR bearbeitet oft Bewerbungen, Finanzen Rechnungsdaten, IT oder der Partner die Zugriffe. Halten Sie fest, wer über eine EDÖB-Meldung entscheidet.

Was Sie verschieben können

Vollständige DSFA für jeden neuen Excel-Export, ISO-Zertifizierung oder eine 200-seitige Richtlinie, die niemand liest. Nicht verschieben: Meldewege, Zugriffsentzug beim Austritt, Anweisung bei falsch versendeten Daten.

Was diese Checkliste nicht ist

Kein Konzern-Governance-Manual. Kein Ersatz für Beratung bei Gesundheitsdaten, Berufsgeheimnis oder reinem EU-Geschäft. Keine DSGVO-Bussen; im Schweizer Recht sind Bussen bis CHF 250’000 gegen natürliche Personen bei Vorsatz möglich (EDÖB Strafbestimmungen).

Ein erfundenes Beispiel: erster Durchgang nach dem revidierten DSG

Ein erfundenes Beispiel: ein Ingenieurbüro mit 52 Mitarbeitenden in Aargau. Die Geschäftsleitung bittet HR und den IT-Partner, Systeme mit Kunden- und Personaldaten zu listen, fehlende Cloud-Verträge zu signieren, die Datenschutzerklärung zu aktualisieren und eine Datenschutzschulung zu planen. Ein formales Verzeichnis entfällt wegen der Grösse und ohne grosses Gesundheits-Profiling. Ein einseitiges Meldeformular und die Büroleitung als erste Anlaufstelle reichen. Sechs Wochen später wird ein falscher Anhang am selben Tag gemeldet; dokumentiert wird, keine EDÖB-Meldung. Die Checkliste hat den Betrieb nicht «fertig» gemacht; sie lieferte eine verteidigbare Basis.

Erste Schritte in diesem Quartal

Cloud-AVVs prüfen. Datenschutzerklärung anpassen, wenn sie nur noch das alte Gesetz nennt. Datenschutzschulung für Mitarbeitende durchführen oder buchen, wenn die letzte Sitzung vor 2023 war. Testen, ob beim Austritt Mailbox und VPN innert 48 Stunden weg sind.

Für eine Live-Schulung zu DSG-Pflichten im Büroalltag: Datenschutz Awareness Training, ein bis zwei Stunden nach einem kurzen Bedarfsgespräch, remote oder vor Ort in der Schweiz.