Datenschutz in der Schweiz: was Unternehmen tun müssen, um das nDSG einzuhalten

Seit 2023 ist das neue Bundesgesetz über den Datenschutz (nDSG) in Kraft, aktualisiert, um sich an die europäischen Standards der DSGVO anzugleichen. Mit Blick auf 2025-26 müssen sich Schweizer Unternehmen auf verstärkte Kontrollen und mehr Aufmerksamkeit von den Bundesbehörden einstellen. Das nDSG einzuhalten bedeutet, sensible Daten zu schützen und Sanktionen zu vermeiden, und für alle, die Kundendaten verarbeiten, ist es auch eine Frage des Vertrauens.

Hauptpflichten für Unternehmen

Die durch das neue DSG festgelegten Verantwortlichkeiten betreffen den Umgang mit Personendaten in allen Phasen ihrer Verarbeitung:

Verzeichnis der Verarbeitungstätigkeiten

Jedes Unternehmen muss dokumentieren, wie es Daten von Kundinnen, Kunden, Lieferanten und Mitarbeitenden erhebt, aufbewahrt und nutzt. Digitale Tools wie Tabellen oder sichere Cloud-Software können diese Tätigkeit vereinfachen.

Transparente Einwilligung

Die Nutzerinnen und Nutzer müssen klar darüber informiert werden, wie ihre Daten verarbeitet werden, und müssen jederzeit die Möglichkeit haben, ihre Einwilligung zu widerrufen.

Meldung von Verstössen

Datenverstösse (Data Breaches) müssen unverzüglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.

Folgenabschätzungen

Obligatorisch, wenn die Verarbeitung hohe Risiken birgt, zum Beispiel bei biometrischen oder gesundheitsbezogenen Daten oder Systemen künstlicher Intelligenz.

Datenschutz by Design & by Default:

Digitale Systeme müssen von Anfang an mit integrierter Sicherheit entwickelt werden.

Arten sensibler Daten

Unternehmen müssen besondere Aufmerksamkeit auf Kategorien von Daten mit hohem Risiko legen, wie:

• Gesundheitsdaten von Mitarbeitenden oder Kundinnen und Kunden;
• biometrische Informationen;
• Finanzdaten;
• Personendaten von Minderjährigen oder geschützten Kategorien.

Für jede Art von Daten muss das Risiko bewertet werden, und falls nötig, muss eine Data Protection Impact Assessment (DPIA) durchgeführt werden.

Pflichten gegenüber Lieferanten und externen Cloud-Anbietern

Viele KMU verlassen sich auf externe Anbieter für Cloud-Dienste, Marketing oder HR-Verwaltung. Es ist entscheidend:

• Anbieter zu wählen, die das DSG einhalten;
• klare Vertragsklauseln zu den Rollen von Verantwortlichem und Auftragsverarbeiter aufzunehmen;
• regelmässige Audits durchzuführen, um den Datenschutz zu überprüfen;
• Server mit Standort in der Schweiz zu bevorzugen, um rechtliche Risiken und nicht autorisierte internationale Übermittlungen zu reduzieren.

Praktische Lösungen, um konform zu sein

Einige konkrete Massnahmen, die Unternehmen ergreifen können:

• Interne Richtlinien: Verwaltung von Zugriffen, Backups, Dokumentenaufbewahrung;
• IT-Sicherheit: Firewalls, aktuelle Antivirenprogramme, Datenverschlüsselung;
• Mitarbeiterschulung: Sensibilisierung des gesamten Personals, IT eingeschlossen, für Risiken und Verfahren;
• Digitalisierung: Einsatz sicherer Cloud-Tools, CRM-Systeme und HR-Software mit Schweizer Servern.

Praktisches Beispiel: Ein KMU mit 30 Mitarbeitenden, das lokale Cloud-Systeme einführt und die internen Richtlinien aktualisiert, kann das Risiko von Verstössen um 70 % senken und die periodischen Kontrollen vereinfachen.

E-Learning und Schulung mit easy4you

Die Unternehmenskultur ist entscheidend. Auch die besten Schutzsysteme reichen nicht aus, wenn die Mitarbeitenden die Regeln nicht kennen. In rund einem Monat eröffnet easy4you ein eigenes E-Learning-System zur Informationssicherheit, mit modularen Kursen zu:

• Umgang mit sensiblen Daten;
• Erkennung von Risiken und Phishing;
• sicherer Nutzung von E-Mail, Cloud und Unternehmensgeräten;
• praktischen Simulationen von Data-Breach-Szenarien.

Diese Schulung reduziert deutlich das Risiko menschlicher Fehler, Sanktionen und Reputationsschäden und macht aus der Ausgabe eine echte Investition für das Unternehmen.

Unterschiede zur europäischen DSGVO

• Territorialer Geltungsbereich, der auf den Schweizer Markt konzentriert ist;
• Verhältnismässige Pflichten für KMU, aber streng bei sensiblen Daten;
• Sanktionen bis zu 250'000 CHF;
• Fokus auf die Verhältnismässigkeit der Massnahmen, um übermässige Belastungen für kleine Unternehmen zu vermeiden.

Fazit

Ab 2025-26 ändert das neue DSG die Regeln nicht radikal, verlangt aber von Unternehmen, bereit zu sein:

• die sensiblen Daten von Kundinnen, Kunden und Mitarbeitenden zu schützen;
• rechtliche Risiken und Sanktionen zu reduzieren;
• Vertrauen und Reputation zu stärken;
• eine interne Kultur der digitalen Sicherheit zu fördern.

Wir von easy4you unterstützen KMU dabei, die DSG-Konformität einfach und sicher anzugehen, indem wir digitale Tools, Unternehmensrichtlinien und praktische Mitarbeiterschulung kombinieren. Die Integration von Technologie und Unternehmenskultur ist heute die wirksamste Strategie, um Risiken zu reduzieren und Kontinuität und Vertrauen im Geschäft zu gewährleisten.

Für eine individuelle Bewertung des Konformitätsstands deines Unternehmens, schreib uns: Wir schauen uns an, wie du heute mit Daten umgehst und was noch fehlt, um in Ordnung zu sein.