Die meisten Schweizer KMU können eine eigentlich einfache Frage nicht beantworten: Wo befinden sich ihre Daten, bei welchen Auftragsbearbeitern, unter welchem Recht? CRM, E-Mail, Buchhaltung, Backups – jedes Tool ist ein Auftragsbearbeiter, und jeder Auftragsbearbeiter hat wiederum seine eigenen. Genau das erwartet das DSG von Ihnen: Bescheid wissen. Das Verzeichnis der Bearbeitungstätigkeiten, die Regelung der Auftragsbearbeitung und die Kontrolle der Datenübermittlung ins Ausland beruhen alle auf diesem Wissen. Eine erste seriöse Bestandsaufnahme ist an einem Vormittag erledigt.
Warum kaum ein KMU diese Bestandsaufnahme je gemacht hat
Die Tools sammeln sich, eine Entscheidung nach der anderen, an. Ein E-Mail-Dienst bei der Firmengründung, eine von der Treuhandstelle empfohlene Buchhaltungssoftware, ein CRM, das mit dem ersten Verkäufer eingeführt wurde, eine HR-Plattform für die Lohnabrechnungen, automatische Backups, die eines vorsichtigen Abends aktiviert wurden. Jede Entscheidung für sich war vernünftig. Zehn Jahre später besitzt niemand mehr die Gesamtübersicht – weil sie zu führen nie jemandes Aufgabe war.
Der zuverlässigste Ausgangspunkt ist weder das Gedächtnis der Geschäftsleitung noch der IT-Dienstleister: Es sind die Zahlungen. Jedes Abonnement hinterlässt eine Spur in der Buchhaltung oder auf der Firmenkarte, und die daraus resultierende Liste ist fast immer länger als die, die man aus dem Kopf aufgeschrieben hätte. 2026 nutzt Ihr KMU die Cloud – das ist gesetzt. Es bleibt zu klären, bei wem, wo und unter welchem Recht. Das ist zu meiner ersten Klärungsfrage geworden: Vor jedem Automatisierungs- oder KI-Projekt steht der Datenfluss vor der Wahl des Werkzeugs.
Was genau umfassen „die Daten Ihres KMU"?
Vier Kategorien decken das Wesentliche ab. Kundendaten: Kontaktangaben, Verlauf, Korrespondenz, mitunter finanzielle Angaben. Mitarbeiterdaten: Löhne, Arztzeugnisse, Beurteilungen – das DSG ordnet einen Teil davon den besonders schützenswerten Personendaten zu, die einen verstärkten Schutz verlangen. Die finanziellen und steuerlichen Daten des Unternehmens selbst. Und Vertragsdokumente, die weniger unter den Datenschutz als unter das Geschäftsgeheimnis fallen, deren Verbreitung aber kein Geschäftsführer sehen möchte.
Diese Unterscheidung ist wichtig: Das DSG schützt Personendaten, also solche, die identifizierbare natürliche Personen betreffen. Ihre Geschäftsgeheimnisse sind nicht sein Gegenstand. Dennoch liegen sie auf denselben Servern, bei denselben Auftragsbearbeitern – die Bestandsaufnahme dient beiden Anliegen mit einer einzigen Massnahme.
Was das DSG von Ihnen erwartet, einfach gesagt
Das Bundesgesetz über den Datenschutz – die revidierte Fassung, die am 1. September 2023 in Kraft trat und die viele noch als revDSG bezeichnen – beruht auf einer Logik, die ich so zusammenfasse: Sie bleiben für die Daten verantwortlich, die Sie bearbeiten, auch wenn Sie sie Dritten anvertrauen[1].
Drei Mechanismen betreffen unmittelbar die Frage der Datenlokalisierung. Zunächst das Verzeichnis der Bearbeitungstätigkeiten. Es ist die dokumentarische Landkarte Ihrer Daten: welche Kategorien, zu welchen Zwecken, bei welchen Auftragsbearbeitern, in welchen Ländern, mit welchen Schutzmassnahmen. Das Gesetz sieht eine Befreiung für Unternehmen mit weniger als 250 Mitarbeitenden vor, deren Bearbeitungen ein begrenztes Risiko darstellen – viele KMU fallen darunter. Die Übung bleibt dennoch der kürzeste Weg, um wieder die Kontrolle zu übernehmen, Befreiung hin oder her.
Dann die Auftragsbearbeitung. Daten einem Dienstleister anzuvertrauen ist zulässig, sofern ein Vertrag dies regelt, der Dienstleister ausreichende Sicherheitsgarantien bietet und er seinerseits nicht ohne Ihre Zustimmung weiterdelegiert. Dieser letzte Punkt wird am häufigsten übersehen: Ihr Rechnungsstellungs-Tool hat einen Hosting-Anbieter, der wiederum eigene Zulieferer hat. Die Kette existiert, ob Sie sie kennen oder nicht.
Und schliesslich die Datenübermittlung ins Ausland. Die Bekanntgabe von Personendaten ausserhalb der Schweiz setzt voraus, dass der Zielstaat ein angemessenes Schutzniveau gewährleistet – der Bundesrat führt die entsprechende Liste – oder dass Garantien, meist vertraglicher Natur, den Unterschied ausgleichen. Diese Regel lässt sich unmöglich anwenden, ohne zu wissen, in welchen Ländern Ihre Tools hosten: Alles führt zur Bestandsaufnahme zurück. Für Einzelfälle ist der Gesetzestext massgebend; ich beschreibe hier die Mechanik, nicht Ihre konkrete Situation.
Und wenn der Anbieter amerikanisch ist? Die extraterritoriale Frage, ohne Dramatik
Ein Teil Ihrer Auftragsbearbeiter operiert unter ausländischem Recht, und der meistdiskutierte Fall ist der amerikanische. Ein Bundesgesetz von 2018, der CLOUD Act, erlaubt es den US-Behörden, Daten von Anbietern anzufordern, die ihrer Rechtshoheit unterstehen – unabhängig davon, in welchem Land sich die Server befinden. Seine genaue Tragweite gegenüber dem Schweizer Recht wird unter Juristen diskutiert, und ich hüte mich davor, zu entscheiden, was die Gerichte noch nicht abschliessend geklärt haben.
Was ich für ein KMU daraus ableite, lässt sich in einem Wort fassen: einordnen. Es geht nicht darum, jeden amerikanischen Anbieter zu meiden – Sie nutzen wahrscheinlich einige ausgezeichnete –, sondern darum, jene Daten zu identifizieren, die einen Zugriff durch eine ausländische Behörde schlecht vertragen würden: Löhne, Gesundheitsdaten, gewisse Kundendossiers, ein laufender Rechtsstreit. Für diese Kategorie werden der Hosting-Standort und das für den Anbieter geltende Recht wieder zu erstrangigen Kriterien. Was die Standortwahl tatsächlich verändert – und was sie nicht löst –, habe ich in In der Schweiz hosten: Was sich wirklich ändert im Detail dargelegt.
Wo fängt man an – an einem Vormittag?
Die Übung erfordert keinerlei Software. Nehmen Sie die Zahlungsauszüge der letzten zwölf Monate zur Hand, markieren Sie jedes Software-Abonnement oder jeden Online-Dienst, und beantworten Sie pro Tool vier Fragen:
- Welche Daten liegen dort – Kunden, Mitarbeitende, Finanzen, Verträge?
- Wo werden sie gehostet, und unter welchem Recht operiert der Anbieter? Die Antwort findet sich meist in den Allgemeinen Geschäftsbedingungen oder der Datenschutzerklärung.
- Wer hat im Unternehmen Zugriff, und wurde bei ausgeschiedenen Mitarbeitenden der Zugang konsequent gesperrt?
- Wie kämen Sie wieder heraus – existiert ein vollständiger Export, in welchem Format?
Das Ergebnis passt auf eine einzige Tabellenseite. Das ist der Kern eines Verzeichnisses der Bearbeitungstätigkeiten und vor allem ein Entscheidungsinstrument: was bleibt, wo es ist, was eine Verlagerung verdient, was einen korrigierten Vertrag erfordert. Die letzte Spalte – der Ausstieg – bereitet ein Thema vor, das ich separat behandelt habe in Wie man Daten ohne Bruch aus einem SaaS migriert; die grundsätzliche Frage, jene des Eigentums, wird in Wem gehören Ihr Tool, Ihr Code, Ihre Daten? behandelt.
Mit genau dieser Arbeit beginne ich auch jede Klärung einer massgeschneiderten Lösung: eine Automatisierung an Datenflüsse anzuschliessen, die niemand kartiert, heisst, auf einem Grundstück zu bauen, dessen Eigentümer man nicht kennt. Und um die Bestandsaufnahme unter den übrigen digitalen Baustellen eines KMU einzuordnen, wird der Gesamtrahmen in Was muss ein Schweizer KMU 2026 in Sachen KI tun? gesteckt.
Wichtig in Kürze
— Jedes Online-Tool ist ein Auftragsbearbeiter, und Sie bleiben für die Personendaten verantwortlich, die Sie ihm anvertrauen. — Verzeichnis der Bearbeitungstätigkeiten, Auftragsbearbeitungsverträge, Datenübermittlung ins Ausland: Alle drei Mechanismen des DSG setzen voraus, dass Sie wissen, wo Ihre Daten sich befinden. — Ein Vormittag und eine Tabelle genügen für die erste Bestandsaufnahme: Zahlungsauszüge zur Hand, vier Fragen pro Tool.
FAQ
Muss mein KMU mit zehn Mitarbeitenden ein Verzeichnis der Bearbeitungstätigkeiten führen? Das DSG sieht vor, dass Unternehmen mit weniger als 250 Mitarbeitenden vom Verzeichnis befreit werden können, wenn ihre Bearbeitungen ein begrenztes Risiko darstellen, und viele KMU fallen in diesen Rahmen. Die Befreiung entfällt insbesondere, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden. Mein praktischer Rat: Machen Sie die Bestandsaufnahme trotzdem – sie kostet einen Vormittag und nützt weit über die Compliance hinaus. Für die genaue Einordnung Ihrer Situation ist der Gesetzestext massgebend.
Bringt mich ein Schweizer Hosting-Anbieter automatisch in Compliance? Nein. Hosting in der Schweiz vereinfacht die Frage der Auslandübermittlung für diese eine Ebene, aber die Compliance hängt zuerst von Ihren Prozessen ab: Information der betroffenen Personen, Verhältnismässigkeit der Datenerhebung, Auftragsbearbeitungsverträge, Zugriffsverwaltung. Ein hervorragender Hosting-Anbieter gleicht kein seit Jahren geteiltes Passwort aus.
Was gilt als Datenübermittlung ins Ausland im Sinne des DSG? Jede Bekanntgabe von Personendaten ausserhalb der Schweiz – einschliesslich ihrer blossen Speicherung auf im Ausland gelegenen Servern. Die Übermittlung ist zulässig in Staaten, deren Schutzniveau der Bundesrat anerkennt; in andere Staaten sind zusätzliche, meist vertragliche Garantien erforderlich. Bei Zweifeln zu einem Land oder Tool ziehen Sie den Gesetzestext und die offizielle Liste heran.
Was riskiert ein KMU konkret, das nichts unternimmt? Das DSG sieht Bussen bis zu 250'000 CHF für bestimmte vorsätzliche Verstösse vor, die sich gegen die verantwortlichen natürlichen Personen richten und nicht gegen das Unternehmen. Das wahrscheinlichste Risiko bleibt jedoch operativer Natur: nicht in der Lage zu sein, auf ein Auskunftsbegehren zu antworten, eine Auftragsbearbeitung zu dokumentieren oder im nötigen Moment sauber aus einem Tool auszusteigen.
Sie könnten heute nicht sagen, wo Ihre Daten schlummern? Die KI-Nutzungsdiagnose: sechzig Minuten, um Ihre tatsächlichen Datenflüsse zu erfassen, zu identifizieren, was eine massgeschneiderte Lösung verdient, was in SaaS bleibt und was gar keine KI braucht. Diagnose buchen
Quellen
[1] Bundesgesetz über den Datenschutz (DSG), Revision vom 25. September 2020, in Kraft getreten am 1. September 2023. www.fedlex.admin.ch/eli/cc/2022/491/fr [↩]
Jérôme Deshaie ist CEO und Gründer von MCVA Consulting SA, einer augmentierten Agentur mit Sitz im Wallis. Fünfzehn Jahre im Dienst grosser internationaler Marken, heute direkt im Einsatz für Schweizer KMU. Werdegang.