Datenschutz-Checkliste revDSG (Schweiz)
revDSG-Checkliste für Schweizer KMU: Bearbeitungsverzeichnis, Auftragsbearbeitung, Bekanntgabe ins Ausland, Datenschutzerklärung und Meldungen an den EDÖB.
- Typischer Rhythmus jährlich
- Die Checkliste 6 Abschnitte, 25 Punkte
- Variablen
{{year}}
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG, oft auch nDSG genannt). Diese Checkliste ist für den jährlichen Datenschutz-Check in Schweizer KMU gedacht, die keine eigene Rechtsabteilung haben. Sie hilft auch ausländischen Unternehmen, die Daten von Personen in der Schweiz bearbeiten. Aufsichtsbehörde ist der EDÖB, Details regelt die Datenschutzverordnung (DSV).
Wer verantwortlich ist
Verantwortlich bleibt die Geschäftsleitung, auch wenn sie Aufgaben delegiert. Den Durchlauf führt die Datenschutzberaterin oder der Datenschutzberater, falls jemand ernannt ist, sonst die Person, die intern für Datenschutz zuständig ist. Die Verantwortlichen der einzelnen Systeme bestätigen, welche Daten ihre Tools enthalten.
Unterschiede zur DSGVO
Das revDSG ähnelt der DSGVO, weicht aber im Detail ab. Datensicherheitsverletzungen werden dem EDÖB "so rasch als möglich" gemeldet, wenn sie voraussichtlich zu einem hohen Risiko führen; eine feste Frist von 72 Stunden gibt es nicht. Auskunftsbegehren werden in der Regel innert 30 Tagen beantwortet. Unternehmen mit weniger als 250 Mitarbeitenden sind oft vom Bearbeitungsverzeichnis befreit. Bussen bis CHF 250'000 richten sich gegen die verantwortlichen natürlichen Personen bei Vorsatz, nicht in erster Linie gegen das Unternehmen. Wer auch Personen in der EU bedient, prüft zusätzlich mit unserer DSGVO-Checkliste.
Typische Fehler
- DSGVO erledigt, revDSG vergessen. Fristen, Meldeschwelle und Regeln zur Bekanntgabe ins Ausland unterscheiden sich. Sie separat prüfen.
- Cloud-Tools im Ausland übersehen. Jedes Land mit der Liste des Bundesrats abgleichen.
Passen Sie die Checkliste an Ihre Situation an; sie ist keine Rechtsberatung.
Die Checkliste: revDSG-Datenschutz-Check {{year}}
Zuständigkeiten
-
Interne Zuständigkeit für Datenschutz festgelegt und den Mitarbeitenden bekannt gemacht
-
Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters geprüft und entschieden optional
-
Pflicht zu einer Vertretung in der Schweiz (Art. 14 revDSG) geprüft, falls kein Sitz in der Schweiz besteht optional
Bearbeitungen dokumentieren
-
Pflicht zum Verzeichnis der Bearbeitungstätigkeiten geprüft und Entscheid begründet
Art. 12 revDSG. Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, ausser sie bearbeiten umfangreich besonders schützenswerte Personendaten oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV). Ein kurzes Verzeichnis lohnt sich trotzdem, weil die übrigen Punkte darauf aufbauen.
-
Verzeichnis der Bearbeitungstätigkeiten auf Stand
{{year}}gebracht, falls geführt -
Neue Tools und Dienstleister seit dem letzten Check erfasst
-
Aufbewahrungsfristen festgelegt und abgelaufene Daten gelöscht
-
Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen bei neuen Systemen geprüft (Art. 7 revDSG)
-
Datenschutz-Folgenabschätzung für neue Bearbeitungen mit hohem Risiko durchgeführt (Art. 22 revDSG) optional
Auftragsbearbeitung und Bekanntgabe ins Ausland
-
Vertrag mit jedem Auftragsbearbeiter vorhanden und abgelegt (Art. 9 revDSG)
-
Alle Länder erfasst, in denen Personendaten gespeichert oder abgerufen werden
-
Jedes Land mit der Liste des Bundesrats zu Staaten mit angemessenem Schutz abgeglichen (Art. 16 revDSG)
-
Bei US-Anbietern Zertifizierung unter dem Swiss-US Data Privacy Framework geprüft
Das Swiss-US Data Privacy Framework gilt seit dem 15. September 2024. Ohne Zertifizierung andere Garantien nutzen, etwa Standardvertragsklauseln.
-
Nicht mehr genutzte Dienstleister gekündigt und Datenlöschung bestätigt
Information und Website
-
Datenschutzerklärung mit aktuellen Zwecken, Empfängern und Ländern abgeglichen (Art. 19 revDSG)
-
Formulare, Newsletter-Anmeldung und Bewerbungen erheben nur die nötigen Daten
-
Cookie- und Tracking-Einsatz auf der Website mit der Datenschutzerklärung abgeglichen
Auskunft und Datensicherheitsverletzungen
-
Prozess für Auskunftsbegehren mit Verantwortlichen und Frist von 30 Tagen dokumentiert (Art. 25 revDSG, Art. 18 DSV)
-
Auskunftsbegehren aus
{{year}}fristgerecht beantwortet und dokumentiert -
Prozess für Meldungen an den EDÖB bei voraussichtlich hohem Risiko dokumentiert (Art. 24 revDSG)
-
Kontaktdaten und Meldeportal des EDÖB beim Prozess hinterlegt
Datensicherheit und Mitarbeitende
-
Technische und organisatorische Massnahmen überprüft und aktualisiert
-
Zugriffsrechte auf Personendaten geprüft und bereinigt
-
Mitarbeitende mit Zugriff auf Personendaten geschult oder Schulung aufgefrischt
-
Ergebnisse und offene Massnahmen an die Geschäftsleitung berichtet
Checkliste als Markdown
Häufige Fragen
Gilt das revDSG auch für kleine Unternehmen?
Ja. Das revDSG gilt für private Unternehmen jeder Grösse, die Personendaten bearbeiten. Einige Pflichten sind für KMU leichter, etwa die Befreiung vom Bearbeitungsverzeichnis für die meisten Firmen mit weniger als 250 Mitarbeitenden. Informationspflicht, Datensicherheit und Auskunftsrecht gelten aber für alle.
Was ist der Unterschied zwischen revDSG und DSGVO?
Die Grundideen sind ähnlich, etwa Auftragsbearbeitung und Datenschutz-Folgenabschätzung. Unterschiede gibt es unter anderem bei der Meldung von Datensicherheitsverletzungen (so rasch als möglich und nur bei voraussichtlich hohem Risiko), der Auskunftsfrist von 30 Tagen und den Bussen, die sich gegen verantwortliche Personen richten. Für Verarbeitungen mit EU-Bezug hilft unsere DSGVO-Checkliste.
Müssen Schweizer Unternehmen auch die DSGVO einhalten?
Das kann sein. Wer Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten beobachtet, fällt unter Umständen zusätzlich unter die DSGVO. Dann gelten beide Regelwerke, und meist bestimmt die strengere Regel, wie ein Prozess aufgesetzt wird.
Aktualisiert