Warum es Sie betrifft
Das revidierte Bundesgesetz über den Datenschutz (nDSG) ist am 1. September 2023 in Kraft getreten. Es gilt für jedes Unternehmen, das in der Schweiz Daten natürlicher Personen bearbeitet, ohne Grössenschwelle. Ein KMU, das eine Kundendatei führt, einen Newsletter versendet oder Löhne verwaltet, ist betroffen. Die Sanktionen richten sich gegen die verantwortlichen Personen, mit Bussen bis 250 000 Franken.
Die gute Nachricht: Für ein KMU lässt sich die Konformität in zehn konkreten Punkten zusammenfassen.
Die zehn Punkte
- Verzeichnis der Bearbeitungen. Halten Sie fest, wo Ihre Personendaten liegen: CRM, Buchhaltung, Löhne, Newsletter, Website, geteilte Dateien.
- Datenschutzerklärung. Veröffentlichen Sie auf Ihrer Website, was Sie erheben, warum, wie lange und wen man kontaktieren kann. Sie muss verständlich sein, nicht aus einer ausländischen Vorlage kopiert.
- Grundlage jeder Bearbeitung. Wissen Sie für jede Verwendung, warum Sie dazu berechtigt sind: Vertrag, berechtigtes Interesse oder Einwilligung.
- Ausdrückliche Einwilligung für Newsletter. Nicht vorangekreuztes Feld, Abmeldung mit einem Klick, Nachweis der Einwilligung aufbewahrt.
- Cookies und Tracker. Kein Werbe-Tracker ohne Zustimmung. Unbedingt notwendige Cookies brauchen keine, sofern Sie darauf hinweisen.
- Verträge mit Ihren Auftragsbearbeitern. Hoster, Treuhand, Agentur, Lohnsoftware: Alle müssen einen Auftragsbearbeitungsvertrag unterzeichnen und Ihnen sagen, wo sie hosten.
- Übermittlungen ins Ausland. Ein amerikanisches Tool ohne anerkannte Garantien ist eine riskante Übermittlung. Bevorzugen Sie Hosting in der Schweiz oder in der Europäischen Union.
- Rechte der betroffenen Personen. Ein Kunde kann Auskunft über seine Daten oder deren Löschung verlangen. Sie haben 30 Tage Zeit für die Antwort: Legen Sie fest, wer sich darum kümmert.
- Angemessene Sicherheit. Einmalige Passwörter, Zwei-Faktor-Authentifizierung, Backups, persönliche Zugänge. Nichts Exotisches, aber angewendet.
- Vorgehen bei Vorfällen. Bei einem Datenabfluss müssen Sie das Risiko beurteilen und, wenn es hoch ist, den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die betroffenen Personen unverzüglich informieren. Schreiben Sie das Vorgehen auf, bevor Sie es brauchen.
Wo Sie anfangen
Beginnen Sie mit dem Verzeichnis. In den meisten KMU fördert es drei oder vier Tools zutage, um die sich niemand kümmert, oft ausserhalb Europas gehostet und mit geteilten Zugängen. Wer diese drei oder vier Punkte regelt, deckt den grössten Teil des Risikos ab.
Bei C’mon wird die Frage von Anfang an geregelt: eine einzige Plattform mit Hosting in Europa, persönliche Zugänge und ein mitgelieferter Auftragsbearbeitungsvertrag. Unsere Zusagen zu Sicherheit und Daten.