nDSG und Prozessautomatisierung: Was Schweizer KMU beachten müssen

Das revidierte Schweizer Datenschutzgesetz (nDSG) ist seit dem 1. September 2023 in Kraft - ohne Übergangsfrist und ausdrücklich auch für KMU. Wer Abläufe automatisiert, in denen Personendaten stecken – Rechnungen, Bewerbungen, Kundenanfragen, Spesen –, bleibt für deren Bearbeitung verantwortlich, egal ob ein Mensch oder ein Workflow die Daten bewegt. Dieser Artikel fasst zusammen, worauf es bei Automatisierungsprojekten ankommt. Er ersetzt keine Rechtsberatung, sondern ordnet die Pflichten praktisch ein.

Die Verantwortung bleibt bei Ihnen – Automatisierung ändert daran nichts

Der wichtigste Punkt zuerst: Automatisieren heisst delegieren, nicht abgeben. Ihr Unternehmen bleibt verantwortlich im Sinne des nDSG, auch wenn ein Dienstleister die Workflows baut und betreibt. Das ist keine schlechte Nachricht. Ein sauber automatisierter Prozess lässt sich meist einfacher datenschutzkonform halten als ein manueller: Er ist dokumentiert, nachvollziehbar und läuft immer gleich ab. Beim Abtippen und Weiterleiten per Mail hingegen landen Kopien an Orten, die niemand mehr im Blick hat.

Auftragsbearbeitung: der Vertrag mit dem Dienstleister

Betreibt ein externer Anbieter Ihre automatisierten Prozesse, ist er datenschutzrechtlich Auftragsbearbeiter. Das nDSG verlangt dafür eine vertragliche Grundlage: Der Anbieter darf die Daten nur so bearbeiten, wie Sie es selbst dürften, muss die Datensicherheit gewährleisten und darf weitere Unterauftragnehmer nur mit Ihrer Genehmigung beiziehen. Konkret heisst das für Sie: Schliessen Sie mit dem Automatisierungs-Dienstleister einen Auftragsbearbeitungsvertrag (ADV) ab und lassen Sie sich zeigen, welche Unterdienstleister – etwa Hosting-Anbieter – im Spiel sind und wo die Daten liegen.

Datensicherheit: technische und organisatorische Massnahmen

Das nDSG verpflichtet zu einer Datensicherheit, die dem Risiko angemessen ist. Für automatisierte Prozesse heisst das praktisch: verschlüsselte Übertragung zwischen den Systemen, Zugriffe nur für die, die sie brauchen, keine Personendaten in Log-Dateien und ein klarer Umgang mit Störungsfällen. Fragen Sie Ihren Anbieter konkret danach. Wer hier ausweicht, ist der falsche Partner. Bei Flucs gehören diese Punkte zum Betrieb; so enthalten etwa unsere Logs grundsätzlich keine Personendaten, sondern nur technische Referenzen.

Verzeichnis, Auskunftsrecht und Meldepflicht – kurz eingeordnet

Drei weitere Pflichten, die Sie kennen sollten. Erstens: Unternehmen mit weniger als 250 Mitarbeitenden sind vom Verzeichnis der Bearbeitungstätigkeiten grundsätzlich befreit, ausser sie bearbeiten in grossem Umfang besonders schützenswerte Daten oder betreiben Hochrisiko-Profiling. Ein einfaches Verzeichnis lohnt sich trotzdem, und automatisierte Prozesse machen es leicht: Was der Workflow tut, ist ohnehin dokumentiert. Zweitens: Betroffene haben ein Auskunftsrecht. Sie müssen sagen können, welche Daten Sie über eine Person bearbeiten. Strukturierte, automatisierte Ablagen machen diese Auskunft in Minuten statt Tagen möglich. Drittens: Verletzungen der Datensicherheit mit hohem Risiko für die Betroffenen müssen dem EDÖB gemeldet werden. Auch dafür ist entscheidend, dass Störungen überhaupt bemerkt werden. Tägliche Überwachung der Prozesse ist damit nicht nur ein Qualitäts-, sondern auch ein Datenschutzargument.

Fazit: Automatisierung und nDSG sind keine Gegner

Richtig aufgesetzt verbessert Automatisierung Ihre Datenschutz-Position: dokumentierte Abläufe, kontrollierte Zugriffe, keine wilden Mail-Kopien, schnelle Auskunftsfähigkeit. Worauf es ankommt, ist der Partner: ADV, transparente Unterdienstleister, angemessene Sicherheit und Monitoring. Wenn Sie wissen wollen, wie das für Ihre konkreten Abläufe aussieht, klären wir es in der kostenlosen Prozess-Analyse – und wie Flucs Prozesse grundsätzlich baut und betreibt, steht auf der Lösungs-Seite.