Datenschutz für KMU nach nDSG: das müssen Sie wissen

Kleine Website, echte Pflicht

Jonas Eine kleine Website kann schon Datenschutzpflichten auslösen?

Lea Ja. Es geht um Datenschutz für Schweizer KMU nach dem revidierten Datenschutzgesetz, kurz nDSG. Der Beitrag ist vom 31. Oktober 2026 und erklärt: Seit dem 1. September 2023 gilt dieses Gesetz auch für kleine und mittlere Betriebe.

Jonas Also nicht nur für Konzerne mit Rechtsabteilung und dicken Aktenordnern?

Lea Genau. Entscheidend ist, ob ein Betrieb Personendaten bearbeitet. Dann muss er transparent sagen, welche Daten wofür verwendet werden.

Was auf die Website gehört

Jonas Und was heisst das für mich, wenn ich nur ein kleines Unternehmen habe und ein Kontaktformular?

Lea Dann sammelt die Website Personendaten. Dafür braucht es eine Datenschutzerklärung auf der Website. Dort gehört hinein, welche Daten über das Formular verarbeitet werden und wozu.

Jonas Klingt nach einem Text, den man einmal irgendwo unten verlinkt und dann vergisst.

Lea So leicht macht es der Beitrag nicht. Er nennt auch die Rechte der betroffenen Personen: Sie dürfen Auskunft verlangen, Daten berichtigen lassen und in bestimmten Fällen widersprechen. Ein Betrieb muss darauf antworten können.

Jonas Moment. Heisst das, man muss intern wenigstens wissen, was man überhaupt sammelt?

Lea Ja, sonst kann man kaum transparent erklären oder sinnvoll antworten.

Verzeichnis, aber nicht immer

Jonas Da kommt doch sicher noch dieses Verzeichnis. Muss das jedes KMU führen?

Lea Nicht jedes. Betriebe mit mehr als 250 Mitarbeitenden führen ein Verzeichnis der Bearbeitungstätigkeiten. Kleinere Betriebe brauchen es nur in bestimmten Fällen.

Jonas Welche Fälle?

Lea Wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten. Oder wenn sie ein Profiling mit hohem Risiko durchführen.

Jonas Das ist der Punkt, an dem viele innerlich abschalten.

Lea Verständlich. Aber die Kernaussage bleibt einfach: Wer Daten bearbeitet, muss wissen, was passiert, und es sauber erklären.

Datenquellen auf der Seite

Jonas Wo verstecken sich diese Datenquellen auf einer normalen Website?

Lea Oft dort, wo man gar nicht zuerst daran denkt. Ein Kontaktformular und ein Newsletter sammeln Daten. Auch ein Analysewerkzeug oder ein eingebundener Kartendienst kann dazugehören.

Jonas Also die Website hat mehrere kleine Taschen, in denen Daten landen können.

Lea Schönes Bild. Jedes dieser Stücke gehört in die Datenschutzerklärung. Und wenn ein Dienst eines Dritten eingebunden ist, zum Beispiel aus den USA, muss die Übermittlung ins Ausland zusätzlich begründet werden.

Jonas Das ist schon konkreter. Nicht einfach: Wir haben Datenschutz. Sondern: Diese Funktionen tun etwas mit Daten.

Lea Genau.

Kurz zusammengefasst

Jonas Wenn ich es zusammensetze: Das nDSG betrifft auch KMU, sobald Personendaten bearbeitet werden.

Lea Richtig. Wichtig sind drei Punkte: eine Datenschutzerklärung auf der Website, ein Überblick über Formulare, Newsletter, Analysewerkzeuge und eingebundene Dienste, und die Fähigkeit, auf Auskunft, Berichtigung oder Widerspruch zu reagieren.

Jonas Und ein Verzeichnis der Bearbeitungstätigkeiten ist vor allem bei mehr als 250 Mitarbeitenden nötig, bei kleineren Betrieben nur in den genannten Risikofällen.

Lea Das ist die Essenz: transparent erklären, Datenquellen nicht übersehen, und Betroffenenrechte ernst nehmen.

Lea Wer Fragen zur eigenen Website hat: dartera baut Websites für Schweizer KMU und Praxen und sagt ehrlich, was Ihre Website bringt und was nicht. Eine Anfrage auf dartera punkt ch ist unverbindlich.

Jonas Danke fürs Zuhören, und einen guten Tag miteinander.

Das Gespräch ist mit KI aus dem Beitrag erzeugt und vertont. Massgebend ist der geschriebene Text. MP3 laden, 1,3 MB