Das Wichtigste in Kürze
- Das Datenschutzgesetz (DSG) gilt für jede Firma, unabhängig von ihrer Grösse – auch für Einzelfirmen.
- Wer Personendaten beschafft, muss die Betroffenen informieren, zum Beispiel mit einer Datenschutzerklärung auf der Website (Art. 19 DSG).
- Lagerst du Daten an einen Software-Anbieter aus, ist er dein Auftragsbearbeiter. Dafür braucht es einen Vertrag, und du musst dich vergewissern, dass er die Daten sicher hält (Art. 9 DSG).
- Bussen bis CHF 250'000 treffen in der Schweiz grundsätzlich die verantwortliche Person, nicht die Firma – und nur bei Vorsatz. Nur wenn die Suche nach der verantwortlichen Person unverhältnismässig aufwendig wäre, kann stattdessen der Betrieb mit bis zu CHF 50'000 gebüsst werden (Art. 64 Abs. 2 DSG).
Für wen gilt das DSG?
Das Datenschutzgesetz gilt für alle privaten Personen und Firmen, die Daten über natürliche Personen bearbeiten. «Bearbeiten» ist dabei jeder Umgang mit Daten: erfassen, speichern, verwenden, weitergeben, löschen. Personendaten sind alle Angaben, die sich einer bestimmten Person zuordnen lassen – also auch der Name und die E-Mail-Adresse einer Ansprechperson bei deinem Firmenkunden.
Besonders heikel sind besonders schützenswerte Personendaten, etwa Angaben über die Gesundheit (Art. 5 Bst. c DSG). Damit hast du schneller zu tun, als du denkst: Arztzeugnisse deiner Mitarbeitenden gehören dazu.
Die Grundsätze sind einfach (Art. 6 DSG): Bearbeite nur, was du für einen erkennbaren Zweck brauchst, halte die Daten richtig, und lösche sie, sobald du sie nicht mehr benötigst – es sei denn, eine Aufbewahrungspflicht verlangt es anders, wie bei Buchungsbelegen.
Informationspflicht und Datenschutzerklärung
Beschaffst du Personendaten, musst du die betroffenen Personen angemessen informieren (Art. 19 DSG). Mindestens anzugeben sind:
- wer verantwortlich ist, mit Kontaktdaten,
- wofür du die Daten bearbeitest,
- an wen du sie allenfalls weitergibst (Empfänger oder Kategorien von Empfängern),
- und, falls Daten ins Ausland gehen, in welche Staaten – dazu allenfalls die Garantien, auf die du dich stützt.
In der Praxis erfüllst du das mit einer Datenschutzerklärung auf deiner Website, auf die du in Offerten, Formularen oder E-Mails verweisen kannst. Sie muss nicht jeder Person einzeln zugestellt werden, aber leicht auffindbar sein. Nutzt du Analyse-Tools, Newsletter-Dienste oder Cloud-Software, gehören sie ebenfalls hinein.
Muss ich ein Verzeichnis führen?
Grundsätzlich verlangt das DSG ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG): eine Übersicht, welche Daten du wofür bearbeitest, wie lange du sie aufbewahrst und wie du sie schützt. Für Unternehmen mit weniger als 250 Mitarbeitenden gibt es eine Ausnahme (Art. 12 Abs. 5 DSG, Art. 24 DSV) – ausser, du bearbeitest besonders schützenswerte Personendaten in grossem Umfang oder führst ein Profiling mit hohem Risiko durch.
Für die meisten Einzelfirmen und kleinen KMU entfällt die Pflicht also. Eine kurze Liste, welche Daten wo liegen, lohnt sich trotzdem: Sie hilft dir bei einer Auskunftsanfrage oder einem Vorfall enorm.
Beispiel: Physiotherapiepraxis mit zwei Angestellten
Martina führt eine Physiotherapiepraxis. Sie hat zwar nur zwei Angestellte, bearbeitet aber laufend Gesundheitsdaten ihrer Patientinnen und Patienten – besonders schützenswerte Daten in grossem Umfang. Deshalb führt sie ein Verzeichnis der Bearbeitungstätigkeiten. Für ihre Büroarbeit – Rechnungen, Belege, Lohn – nutzt sie eine Software mit Servern in der Schweiz und einem Auftragsverarbeitungsvertrag.
Software-Anbieter als Auftragsbearbeiter
Speicherst du Daten in einer Cloud-Software, bearbeitet der Anbieter sie in deinem Auftrag. Das ist erlaubt, wenn er sie nur so bearbeitet, wie du es selbst dürftest, und keine Geheimhaltungspflicht dagegen spricht (Art. 9 DSG). Du musst dich insbesondere vergewissern, dass der Anbieter die Datensicherheit gewährleisten kann. Weitere Unterauftragnehmer darf er nur mit deiner vorgängigen Genehmigung beiziehen.
Das regelt ein Auftragsverarbeitungsvertrag (AVV). Seriöse Anbieter stellen ihn von sich aus zur Verfügung. Achte darauf, wo die Daten liegen: Gibst du Personendaten ins Ausland, muss dort ein angemessener Schutz bestehen – für viele Staaten hat das der Bundesrat festgestellt, sonst braucht es geeignete Garantien wie Standardvertragsklauseln (Art. 16 DSG).
Datensicherheit: angemessen, nicht perfekt
Das DSG verlangt eine dem Risiko angemessene Datensicherheit mit technischen und organisatorischen Massnahmen (Art. 8 DSG). Perfekte Sicherheit gibt es nicht – aber ein paar Massnahmen wirken in kleinen Betrieben besonders stark:
- Zwei Faktoren für jede Anmeldung: Ein gestohlenes Passwort allein reicht dann nicht mehr. Am sichersten sind Passkeys, weil sie nicht auf gefälschten Anmeldeseiten funktionieren.
- Regelmässige, getrennte Sicherungen: Eine Sicherung, die auf demselben Gerät liegt, hilft bei einem Verschlüsselungstrojaner nicht.
- Geräte verschlüsseln und aktuell halten: BitLocker oder FileVault einschalten, Updates zeitnah installieren.
- Zugriffe begrenzen: Jede Person sieht nur, was sie für ihre Arbeit braucht – Lohndaten zum Beispiel nicht das ganze Team.
- Keine Daten in privaten Ablagen: Exporte und Kopien nicht unverschlüsselt in geteilten Ordnern oder auf USB-Sticks herumtragen.
Wenn doch etwas passiert
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen, musst du sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich melden (Art. 24 DSG). Eine feste Stundenfrist wie in der EU gibt es nicht. Die Betroffenen informierst du, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Ein Auftragsbearbeiter muss dir eine Verletzung seinerseits so rasch als möglich melden.
Bussen: wen sie treffen
Anders als in der EU richten sich die Bussen in der Schweiz grundsätzlich gegen die verantwortliche natürliche Person, nicht gegen die Firma. Bestraft wird nur vorsätzliches Handeln, zum Beispiel eine bewusst unterlassene Information oder falsche Auskunft (Art. 60 DSG) oder die vorsätzliche Verletzung von Sorgfaltspflichten bei Auftragsbearbeitung, Auslandbekanntgabe und Mindestanforderungen an die Datensicherheit (Art. 61 DSG). Die Busse beträgt bis zu CHF 250'000. Wer sich ernsthaft um den Datenschutz bemüht, muss das nicht fürchten – ignorieren solltest du ihn aber nicht.
So geht's in Easly
In Easly liegen Rechnungen, Belege und Personaldossiers an einem Ort – deshalb ist Sicherheit bei Easly kein Zusatz, sondern Grundlage:
- Eigene, isolierte Instanz: Deine Daten liegen in einer eigenen Anwendung mit eigener Datenbank, eigenem Speicher und eigenem Schlüssel – getrennt von allen anderen Kundinnen und Kunden.
- Verschlüsselt gespeichert, in der Schweiz: Datenbank, Dokumente, Belege, Personaldossiers und Sicherungen liegen verschlüsselt auf Servern in der Schweiz. Übertragen wird immer per HTTPS.
- Zwei Faktoren sind Pflicht: Ohne Passkey (zum Beispiel Windows Hello oder Face ID) oder Authenticator-App gibt es keine Anmeldung.
- Support nur mit deinem Code: Der Support kommt nur in deine Instanz, wenn du einen Freigabe-Code erstellst – gültig für höchstens 72 Stunden und jederzeit widerrufbar. Jede Aktion wird protokolliert, und du siehst das Protokoll selbst.
- Tägliche Sicherung: Jede Nacht eine verschlüsselte Sicherung, aufbewahrt 14 Tage täglich, 8 Wochen wöchentlich und 12 Monate monatlich. Eine Wiederherstellung beantragst du direkt in Easly.
- Deine Daten gehören dir: Der vollständige Export – alle Daten als Excel und CSV, alle Dokumente – steht dir jederzeit zur Verfügung.
- Auftragsverarbeitungsvertrag inklusive: IT Services Schneeberger bearbeitet deine Daten in deinem Auftrag; der AVV ist Teil des Abos. Mehr unter Sicherheit und Daten.
Nutzt du die KI-Funktionen, den Post-Versand oder den E-Mail-Versand, gehen die dafür nötigen Daten an den jeweiligen Anbieter, den du selbst gewählt hast. Nimm diese Anbieter in deine Datenschutzerklärung auf.
Häufige Fragen
Braucht meine Einzelfirma eine Datenschutzerklärung?
In aller Regel ja. Sobald du Personendaten beschaffst – über die Website, per E-Mail oder bei einer Bestellung –, musst du die Betroffenen informieren (Art. 19 DSG). Am einfachsten geht das mit einer Datenschutzerklärung auf deiner Website.
Muss ich als kleines KMU ein Verzeichnis der Bearbeitungstätigkeiten führen?
Nicht, wenn du weniger als 250 Mitarbeitende hast und weder besonders schützenswerte Personendaten in grossem Umfang bearbeitest noch ein Profiling mit hohem Risiko durchführst (Art. 12 Abs. 5 DSG, Art. 24 DSV).
Was muss ich tun, wenn mein Laptop gestohlen wird?
Passwörter ändern, Zugänge sperren und prüfen, welche Daten betroffen sind. War das Gerät nicht verschlüsselt und droht den Betroffenen voraussichtlich ein hohes Risiko, musst du den Vorfall dem EDÖB so rasch als möglich melden (Art. 24 DSG). Mit eingeschalteter Geräteverschlüsselung ist das Risiko meist deutlich kleiner.
Wie lange muss ich eine Auskunftsanfrage beantworten?
In der Regel innert 30 Tagen (Art. 25 DSG). Die Auskunft ist in der Regel kostenlos. Ein Überblick, wo welche Daten liegen, macht die Antwort viel einfacher.
Stand der Angaben: siehe oben. Grundlagen: Datenschutzgesetz (DSG, in Kraft seit 1. September 2023, u. a. Art. 5, 6, 8, 9, 12, 16, 19, 24, 25, 60 und 61) und Datenschutzverordnung (DSV, Art. 24). Dieser Artikel ersetzt keine Rechtsberatung.