Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft, ohne Übergangsfrist. Fast drei Jahre später zeigt sich in der Praxis ein klares Muster: Die meisten Unternehmen haben die Pflichten einmal umgesetzt, aber nie nachgeführt. Genau dort entstehen heute die Risiken.

Die zentralen Anforderungen sind unverändert: ein aktuelles Verzeichnis der Bearbeitungstätigkeiten, transparente Datenschutzerklärungen, definierte Prozesse für Auskunftsbegehren, Verträge mit allen Auftragsbearbeitern und ein funktionierender Meldeweg für Verletzungen der Datensicherheit an den EDÖB.

Der erste Schwachpunkt ist fast immer das Verzeichnis. Es wurde 2023 erstellt und seither hat sich alles verändert: neue Tools, neue Cloud-Dienste, neue KI-Anwendungen, neue Empfänger im Ausland. Ein Verzeichnis, das die Realität nicht mehr abbildet, schützt nicht, es täuscht Sicherheit vor.

Der zweite Schwachpunkt sind die Dienstleisterverträge. Wer Personendaten durch Dritte bearbeiten lässt, braucht die vertraglichen Garantien von Art. 9 DSG. In der Praxis fehlen diese Verträge erstaunlich oft oder decken längst nicht mehr die tatsächlich bezogenen Leistungen ab. Besonders kritisch: Cloud- und KI-Dienste mit Datenbearbeitung ausserhalb der Schweiz, die zusätzlich eine Grundlage für die Auslandsbekanntgabe nach Art. 16 f. DSG brauchen.

Der dritte Schwachpunkt ist der Ernstfallprozess. Die Meldung einer Datensicherheitsverletzung muss so rasch als möglich erfolgen, wenn ein hohes Risiko für die betroffenen Personen droht. Wer erst im Vorfall klärt, wer intern entscheidet und was gemeldet wird, verliert genau die Zeit, die das Gesetz nicht gibt. Dazu kommen die strafrechtlichen Sanktionen des DSG: Bussen bis 250 000 Franken treffen die verantwortlichen natürlichen Personen, nicht nur das Unternehmen.

Unsere Empfehlung ist ein kompakter Daten-Gesundheitscheck von zwei bis drei Tagen: Verzeichnis mit der Realität abgleichen, Dienstleisterliste und Verträge sichten, Auslandsbekanntgaben klären, Meldeprozess einmal durchspielen. Der Aufwand ist überschaubar, der Effekt gross, gerade bevor KI-Projekte die Datenlandschaft weiter verändern.

Als ersten Schritt können Sie mit unserem Datenschutz-Zusatz für Auftragsbearbeitung die häufigste Vertragslücke selbst schliessen. Für den Check und die heikleren Fragen sind wir gerne für Sie da.