Das revidierte Datenschutzgesetz (revDSG) für kleine Agenturen erklärt

Am 1. September 2023 ist das revidierte Datenschutzgesetz (revDSG, offiziell einfach DSG) in Kraft getreten. Es hat das Gesetz von 1992 abgelöst und die Schweiz näher an die europäische DSGVO gebracht, ohne sie zu kopieren. Für kleine Agenturen, die Kundendaten verarbeiten, ändert sich einiges. Dieser Artikel erklärt, was wichtig ist, ohne Juristendeutsch.

Was das Gesetz schützt

Das DSG schützt natürliche Personen. Das ist der wichtigste Unterschied zum alten Gesetz: Daten über juristische Personen (GmbH, AG, Vereine) fallen nicht mehr darunter. Wer eine Liste von Firmen mit Geschäftsadressen führt, bearbeitet keine Personendaten im Sinne des DSG. Sobald aber Namen von Ansprechpersonen, deren Durchwahlen oder persönliche E-Mail-Adressen dazukommen, ist das Gesetz anwendbar. Das betrifft praktisch jedes CRM.

Besonders schützenswert sind unter anderem Gesundheitsdaten, religiöse oder politische Ansichten, biometrische Daten und neu auch genetische Daten sowie Daten über Massnahmen der sozialen Hilfe. Für die meisten Agenturen spielen sie keine Rolle, ausser du arbeitest für Praxen oder soziale Einrichtungen.

Die sieben Pflichten, die dich betreffen

1. Informationspflicht

Du musst betroffene Personen informieren, wenn du ihre Daten beschaffst: wer du bist, wozu du die Daten nutzt, an wen du sie weitergibst und in welche Länder. Das ist die Datenschutzerklärung auf deiner Website. Sie muss auch erwähnen, dass du Kontaktdaten potenzieller Kunden für die Geschäftsanbahnung bearbeitest, wenn du Akquise betreibst.

2. Bearbeitungsverzeichnis

Grundsätzlich müssen Unternehmen ein Verzeichnis aller Bearbeitungstätigkeiten führen. Ausnahme: Unternehmen mit weniger als 250 Mitarbeitenden, deren Bearbeitung ein geringes Risiko mit sich bringt, sind befreit. Die meisten Agenturen fallen darunter. Ein einfaches Verzeichnis lohnt sich trotzdem, weil es dir hilft, den Überblick zu behalten.

3. Datensicherheit

Du musst technische und organisatorische Massnahmen treffen, die dem Risiko angemessen sind: Passwörter, Zwei-Faktor-Authentifizierung, Zugriffsrechte, Backups, Verschlüsselung. Konkret für ein CRM: Jeder Mitarbeitende hat ein eigenes Login, ehemalige Mitarbeitende werden entfernt, Exporte landen nicht auf privaten USB-Sticks.

4. Meldung von Datensicherheitsverletzungen

Wird ein Datenleck entdeckt, das voraussichtlich zu einem hohen Risiko für Betroffene führt, musst du es «so rasch als möglich» dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden. Anders als in der EU gibt es keine starre 72-Stunden-Frist, aber die Erwartung ist ähnlich.

5. Auftragsbearbeitung

Wenn ein Dienstleister Daten für dich bearbeitet (CRM-Anbieter, Hoster, Newsletter-Tool), braucht es einen Vertrag, der ihn an deine Weisungen bindet und Sicherheit garantiert: den Auftragsverarbeitungsvertrag (AVV). Seriöse Anbieter stellen ihn bereit. Prüfe, ob er da ist, bevor du ein Tool einführst.

6. Datenübermittlung ins Ausland

Daten dürfen nur in Länder mit angemessenem Datenschutz übermittelt werden. Die EU-Staaten gehören dazu. Für die USA gilt seit 2024 das Swiss-U.S. Data Privacy Framework für zertifizierte Unternehmen; andernfalls braucht es Standardvertragsklauseln. Praktisch: Prüfe bei jedem Cloud-Tool, wo die Server stehen und welche Garantien der Anbieter gibt.

7. Betroffenenrechte

Jede Person darf Auskunft verlangen, welche Daten du über sie hast, und Berichtigung oder Löschung fordern. Du musst innert 30 Tagen antworten. Für ein CRM heisst das: Du musst eine Person schnell finden und ihre Daten exportieren oder löschen können.

Was neu ist gegenüber dem alten Gesetz

• Privacy by Design und by Default: Datenschutz muss von Anfang an in Prozesse und Software eingebaut sein, und die Voreinstellungen müssen datensparsam sein.
• Profiling ist definiert und bei «Profiling mit hohem Risiko» an strengere Voraussetzungen gebunden.
• Strafen: Neu können Privatpersonen (nicht Unternehmen) mit Bussen bis CHF 250'000 belegt werden, etwa bei vorsätzlicher Verletzung der Informationspflicht. Das ist der Teil, der Geschäftsführer aufhorchen lässt.
• Datenschutz-Folgenabschätzung: Bei Bearbeitungen mit hohem Risiko vorgeschrieben. Für eine typische Agentur selten relevant.

Und die DSGVO?

Wenn du Kunden oder Kontakte in der EU hast und ihnen gezielt Leistungen anbietest, gilt zusätzlich die DSGVO. Für eine Agentur in Winterthur mit Schweizer Kunden: in der Regel nein. Für eine, die aktiv Kunden in Deutschland akquiriert: ja. Dann brauchst du unter Umständen auch einen Vertreter in der EU.

Checkliste für kleine Agenturen

1. Datenschutzerklärung auf der Website, aktuell, mit allen Tools und Empfängern.
2. Liste aller Dienstleister mit Zugriff auf Personendaten, jeweils mit AVV.
3. Eigene Logins pro Person, 2FA aktiviert, Offboarding-Prozess.
4. Prozess für Auskunfts- und Löschbegehren (wer antwortet, wie, innert 30 Tagen).
5. Prozess für Datenpannen (wer entscheidet über Meldung an den EDÖB).
6. Bei Akquise: nur geschäftliche, öffentlich publizierte Angaben, Quelle notieren, Widerspruch respektieren.
7. Einmal im Jahr: alles durchgehen.

Wie KMUnity das umsetzt

Wir haben KMUnity nach diesen Regeln gebaut: Daten in Europa, Row Level Security pro Workspace, 2FA, Export und Löschung in Selbstbedienung, ein AVV für CRM-Daten, eine Sperrliste für Firmen, die nicht gefunden werden wollen, und bewusst kein automatischer Versand. Nicht, weil es Pflicht ist, sondern weil es der Standard sein sollte.