Wann sind Kundendaten datenschutzrechtlich relevant?
Kundendaten sind datenschutzrechtlich relevant, sobald sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das gilt nicht nur für sensible Informationen, sondern auch für gewöhnliche Kontakt- und Vertragsdaten.
Das DSG versteht Personendaten sehr weit. Erfasst sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Ebenso weit ist der Begriff des Bearbeitens. Dazu gehören unter anderem das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten (Art. 5 lit. d DSG).
Für ein KMU bedeutet das: Wer Kundendaten in einer Excel-Liste speichert, in einem CRM verwaltet, an eine Buchhaltungssoftware übermittelt, in einem Newsletter-Tool nutzt oder einem Versanddienstleister zugänglich macht, bearbeitet Personendaten. Es braucht dafür kein komplexes Profiling und keine künstliche Intelligenz. Bereits die normale Kundenverwaltung genügt.
Nicht alle Daten sind gleich heikel. Besonders schützenswert sind etwa Gesundheitsdaten, biometrische Daten, Daten über religiöse oder politische Ansichten, Daten über strafrechtliche Verfolgungen oder Daten über Massnahmen der sozialen Hilfe (Art. 5 lit. c DSG). Ein Coiffeursalon, eine Arztpraxis, ein Fitnessstudio, ein Versicherungsvermittler oder ein Anbieter im Gesundheits- und Sozialbereich muss deshalb besonders sorgfältig prüfen, welche Kundendaten erhoben werden und wie sie geschützt sind.
Welche Grundregeln gelten beim Umgang mit Kundendaten?
Ein Schweizer KMU darf Kundendaten nur rechtmässig, nach Treu und Glauben, verhältnismässig und zweckgebunden bearbeiten. Daten dürfen ausserdem nicht länger aufbewahrt werden, als sie für den Zweck nötig sind.
Die zentralen Grundsätze stehen in Art. 6 DSG. Für den Alltag eines KMU lassen sie sich einfach übersetzen.
Erstens braucht jede Bearbeitung einen sachlichen Zweck. Ein Unternehmen darf Kundendaten nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschaffen (Art. 6 Abs. 3 DSG). Wer eine Lieferadresse für den Versand einer Bestellung erhebt, darf diese nicht ohne Weiteres für völlig fremde Zwecke verwenden. Je weiter sich ein neuer Zweck vom ursprünglichen Zweck entfernt, desto eher muss neu informiert oder eine Rechtfertigung geprüft werden.
Zweitens gilt der Grundsatz der Verhältnismässigkeit. Ein KMU soll nur jene Kundendaten erheben, die für den jeweiligen Zweck nötig sind (Art. 6 Abs. 2 DSG). Ein Online-Shop benötigt für eine Lieferung typischerweise Name, Adresse und Kontaktangaben. Die Frage nach Geburtsdatum, Zivilstand oder Hobbys ist nur dann sinnvoll, wenn dafür ein konkreter, erkennbarer und verhältnismässiger Zweck besteht. Datenschutz beginnt deshalb nicht erst bei der Datenschutzerklärung, sondern schon bei der Frage, welche Felder ein Formular überhaupt enthält.
Drittens müssen Personendaten vernichtet oder anonymisiert werden, sobald sie für den Bearbeitungszweck nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG). Das bedeutet nicht, dass jede Kundendatei sofort nach Vertragsende gelöscht werden muss. Gesetzliche Aufbewahrungspflichten, etwa im Rechnungswesen, können eine längere Speicherung rechtfertigen. Aber Daten auf Vorrat zu sammeln und unbegrenzt aufzubewahren, passt nicht zum DSG.
Viertens müssen Kundendaten richtig sein. Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern und angemessene Massnahmen treffen, damit unrichtige oder unvollständige Daten berichtigt, gelöscht oder vernichtet werden (Art. 6 Abs. 5 DSG). In der Praxis heisst das zum Beispiel, dass Adressänderungen in den relevanten Systemen nachgeführt werden sollten.
Braucht es für Kundendaten immer eine Einwilligung?
Nein. Im Schweizer Datenschutzrecht ist eine Einwilligung nicht für jede Bearbeitung von Kundendaten erforderlich. Wenn eine Einwilligung aber nötig ist, muss sie freiwillig, informiert und für bestimmte Bearbeitungen erfolgen.
Das ist ein häufiger Irrtum. Das DSG funktioniert nicht gleich wie die DSGVO der EU. Unter Schweizer Recht braucht ein privates Unternehmen nicht für jede zulässige Datenbearbeitung eine separate Einwilligung. Entscheidend ist vielmehr, dass die Bearbeitung die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzt und die gesetzlichen Grundsätze eingehalten werden (Art. 30 Abs. 1 DSG, Art. 30 Abs. 2 DSG).
Eine Einwilligung kann aber erforderlich werden, wenn eine Bearbeitung sonst eine Persönlichkeitsverletzung wäre oder wenn das Gesetz sie für bestimmte Konstellationen verlangt. Ist eine Einwilligung erforderlich, ist sie nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG). Für besonders schützenswerte Personendaten oder ein Profiling mit hohem Risiko muss eine erforderliche Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7 DSG).
Für KMU ist die praktische Konsequenz klar. Es ist meist wichtiger, transparent zu informieren, Daten sparsam zu erheben und sichere Prozesse zu schaffen, als überall pauschal ein Kästchen mit «Ich stimme zu» einzubauen. Wenn ein Unternehmen aber für Newsletter, personalisierte Werbung, besonders sensible Daten oder ungewöhnliche Nutzungen auf eine Einwilligung setzt, sollte der Text konkret sein.
Was gehört in eine Datenschutzerklärung?
Eine Datenschutzerklärung muss mindestens erklären, wer verantwortlich ist, zu welchen Zwecken Kundendaten bearbeitet werden und an wen sie gegebenenfalls weitergegeben werden. Bei Auslandübermittlungen müssen zusätzliche Angaben gemacht werden.
Die Informationspflicht ist eine der wichtigsten Pflichten für Schweizer KMU. Der Verantwortliche muss die betroffene Person angemessen über die Beschaffung von Personendaten informieren, auch wenn die Daten nicht direkt bei ihr beschafft werden (Art. 19 Abs. 1 DSG). Diese Pflicht gilt grundsätzlich bei jeder Beschaffung von Personendaten, nicht nur bei besonders schützenswerten Daten.
Mindestens mitzuteilen sind die Identität und Kontaktdaten des Verantwortlichen, der Bearbeitungszweck sowie gegebenenfalls die Empfängerinnen und Empfänger oder Kategorien von Empfängern (Art. 19 Abs. 2 DSG). Werden Daten nicht bei der betroffenen Person beschafft, müssen zusätzlich die Kategorien der bearbeiteten Personendaten genannt werden (Art. 19 Abs. 3 DSG). Werden Personendaten ins Ausland bekanntgegeben, muss auch der Staat oder das internationale Organ genannt werden, gegebenenfalls mit den Garantien oder Ausnahmen (Art. 19 Abs. 4 DSG).
Für ein KMU sollte die Datenschutzerklärung deshalb nicht einfach ein kopiertes Muster sein. Sie muss zur tatsächlichen Datenbearbeitung passen. Ein kleiner Handwerksbetrieb braucht andere Angaben als ein Online-Shop mit Tracking, Newsletter-Tool, Zahlungsdienstleister und externer Logistik. Wichtig ist, dass die Information verständlich, leicht zugänglich und nicht unnötig kompliziert ist. Im Web ist eine gut sichtbare Datenschutzerklärung im Footer der Website in der Regel ein sinnvoller Standard.
Wer die Informationspflicht vorsätzlich verletzt, riskiert eine Busse bis CHF 250'000 (Art. 60 Abs. 1 DSG). Das zeigt, dass Transparenz beim Thema Kundendaten Datenschutz Schweiz nicht als reine Formalität behandelt werden sollte.
Was gilt bei Cloud, CRM, Newsletter-Tools und anderen Dienstleistern?
Wer Kundendaten durch externe Dienstleister bearbeiten lässt, bleibt als Verantwortlicher in der Pflicht. Das KMU muss prüfen, ob der Dienstleister die Daten nur wie erlaubt bearbeitet und eine angemessene Datensicherheit gewährleisten kann.
Viele KMU lagern Teile der Datenbearbeitung aus. Typische Beispiele sind Hosting, Cloud-Speicher, Buchhaltungssoftware, CRM-Systeme, Newsletter-Tools, externe IT-Supporter, Zahlungsdienstleister oder Versandpartner. Datenschutzrechtlich handelt es sich häufig um eine Auftragsbearbeitung. Nach Art. 9 DSG ist diese zulässig, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht (Art. 9 Abs. 1 DSG).
Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten (Art. 9 Abs. 2 DSG). In der Praxis empfiehlt sich eine schriftliche Auftragsbearbeitungsvereinbarung. Darin sollten unter anderem Zweck und Umfang der Bearbeitung, Weisungsrechte, technische und organisatorische Massnahmen, Unterauftragsbearbeiter, Meldepflichten bei Sicherheitsvorfällen und Löschung oder Rückgabe nach Vertragsende geregelt werden.
Besondere Aufmerksamkeit braucht es, wenn Dienstleister Daten im Ausland bearbeiten. Personendaten dürfen ins Ausland bekanntgegeben werden, wenn dort ein angemessener Schutz besteht (Art. 16 Abs. 1 DSG). Fehlt ein solcher Entscheid, braucht es geeignete Garantien, etwa anerkannte Standarddatenschutzklauseln (Art. 16 Abs. 2 DSG). Für KMU heisst das: Bei internationalen Cloud- oder Marketing-Tools lohnt sich ein genauer Blick in die Vertragsunterlagen und Datenschutzhinweise des Anbieters.
Wie müssen Kundendaten geschützt werden?
Kundendaten müssen durch geeignete technische und organisatorische Massnahmen geschützt werden. Die Massnahmen richten sich nach dem Risiko, der Art der Daten, dem Zweck, dem Umfang und den Umständen der Bearbeitung.
Datensicherheit ist nicht nur IT-Sache, sondern eine gesetzliche Pflicht. Verantwortliche und Auftragsbearbeiter müssen eine dem Risiko angemessene Datensicherheit gewährleisten (Art. 8 Abs. 1 DSG). Die Massnahmen müssen dazu beitragen, Verletzungen der Datensicherheit zu vermeiden (Art. 8 Abs. 2 DSG).
Die Datenschutzverordnung konkretisiert diesen risikobasierten Ansatz. Verantwortliche und Auftragsbearbeiter müssen den Schutzbedarf der Personendaten bestimmen und geeignete technische und organisatorische Massnahmen festlegen (Art. 1 Abs. 1 DSV). Dabei zählen unter anderem die Art der Daten, der Zweck, die Art, der Umfang und die Umstände der Bearbeitung (Art. 1 Abs. 2 DSV). Auch der Stand der Technik und die Implementierungskosten dürfen berücksichtigt werden (Art. 1 Abs. 4 DSV).
Für ein KMU müssen die Massnahmen nicht gleich aussehen wie bei einem Grosskonzern. Aber gewisse Grundlagen sollten vorhanden sein. Dazu gehören starke Passwörter, Zwei-Faktor-Authentifizierung für wichtige Systeme, rollenbasierte Zugriffe, regelmässige Updates, Backups, verschlüsselte Geräte, klare Zuständigkeiten, Schulung der Mitarbeitenden und ein einfacher Notfallprozess für Datenpannen.
Kommt es zu einer Verletzung der Datensicherheit, muss der Verantwortliche dem EDÖB so rasch wie möglich Meldung erstatten, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt (Art. 24 Abs. 1 DSG). Der Auftragsbearbeiter muss eine Verletzung dem Verantwortlichen so rasch wie möglich melden (Art. 24 Abs. 3 DSG). Die Meldung an den EDÖB muss unter anderem Art, Zeitpunkt, betroffene Daten, betroffene Personen, Folgen, Risiken und Massnahmen enthalten, soweit dies möglich ist (Art. 15 Abs. 1 DSV).
Müssen KMU ein Verzeichnis der Bearbeitungstätigkeiten führen?
Nicht jedes KMU muss ein Verzeichnis der Bearbeitungstätigkeiten führen. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, sofern sie keine besonders schützenswerten Personendaten in grossem Umfang bearbeiten und kein Profiling mit hohem Risiko durchführen.
Grundsätzlich sieht das DSG vor, dass Verantwortliche und Auftragsbearbeiter ein Verzeichnis ihrer Bearbeitungstätigkeiten führen (Art. 12 Abs. 1 DSG). Dieses Verzeichnis enthält unter anderem Identität, Bearbeitungszweck, Kategorien betroffener Personen, Kategorien von Personendaten, Empfänger, Aufbewahrungsdauer, Datensicherheitsmassnahmen und Angaben zu Auslandbekanntgaben (Art. 12 Abs. 2 DSG).
Für viele KMU gibt es aber eine wichtige Erleichterung. Unternehmen und andere privatrechtliche Organisationen mit weniger als 250 Mitarbeitenden sind von der Pflicht befreit, wenn nicht besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden und kein Profiling mit hohem Risiko durchgeführt wird (Art. 24 DSV).
Trotzdem ist ein einfaches internes Dateninventar oft sinnvoll. Es muss nicht zwingend ein juristisches Grossdokument sein. Schon eine Übersicht darüber, welche Kundendaten wo liegen, wer Zugriff hat, welche Dienstleister beteiligt sind, wie lange Daten aufbewahrt werden und was bei einem Vorfall zu tun ist, hilft enorm. Datenschutz wird dadurch weniger abstrakt und im Alltag besser beherrschbar.
Häufige Fragen zum Datenschutz bei Kundendaten
Gilt das Schweizer Datenschutzgesetz auch für kleine Unternehmen?
Ja. Das DSG gilt auch für kleine Unternehmen, sobald sie Personendaten bearbeiten. Die Grösse des Unternehmens entscheidet nicht darüber, ob Datenschutzpflichten bestehen. Sie kann aber bei einzelnen Pflichten und beim Umfang der erforderlichen Massnahmen eine Rolle spielen, etwa beim Verzeichnis der Bearbeitungstätigkeiten (Art. 24 DSV).
Reicht eine Datenschutzerklärung auf der Website?
Eine Datenschutzerklärung auf der Website ist oft ein wichtiger Baustein, reicht aber nur, wenn sie die tatsächlichen Datenbearbeitungen korrekt abbildet und leicht zugänglich ist. Werden Kundendaten auch offline, telefonisch, über Papierformulare oder an Events erhoben, muss die Information auch dort angemessen erfolgen (Art. 19 Abs. 1 DSG).
Darf ein KMU Kundendaten für Newsletter verwenden?
Das kann zulässig sein, wenn die Kundinnen und Kunden angemessen informiert wurden und die übrigen gesetzlichen Vorgaben eingehalten werden. Je nach Art des Newsletters und Empfängerkreis können zusätzlich Vorgaben aus dem Lauterkeitsrecht relevant sein. Datenschutzrechtlich ist wichtig, dass der Zweck klar erkennbar ist und keine unerwartete oder unverhältnismässige Nutzung erfolgt (Art. 6 Abs. 2 DSG, Art. 6 Abs. 3 DSG).
Was ist der wichtigste erste Schritt für KMU?
Der wichtigste erste Schritt ist eine ehrliche Bestandsaufnahme. Ein KMU sollte wissen, welche Kundendaten es erhebt, wofür es sie nutzt, wo sie gespeichert sind, wer Zugriff hat, welche Dienstleister beteiligt sind und wie lange die Daten aufbewahrt werden. Erst danach lassen sich Datenschutzerklärung, Verträge, Löschfristen und Sicherheitsmassnahmen sinnvoll anpassen.
