Was für ein KMU wirklich obligatorisch ist
Zwei Elemente betreffen praktisch alle KMU: eine auf Ihrer Website veröffentlichte Datenschutzerklärung (sobald Sie Daten erheben, auch nur über ein Kontaktformular), und ein Verzeichnis der Bearbeitungstätigkeiten, das beschreibt, welche Daten Sie bearbeiten und warum. Ein Kleinunternehmen ist davon nur befreit, wenn die Bearbeitung ein geringes Risiko für die betroffenen Personen darstellt, was bei Personal- oder Kundendaten selten zutrifft.
Auftragsverarbeiter (Hosting, CRM, HR-Tools) müssen vertraglich geregelt sein
Sobald ein externer Dienstleister Daten in Ihrem Auftrag bearbeitet (Hosting, E-Mail-Versand, Lohnbuchhaltung), muss ein Auftragsverarbeitungsvertrag diese Beziehung regeln. Viele KMU entdecken diese Pflicht erst bei einer Kontrolle oder einer Beschwerde.
Was bei einer Datenschutzverletzung zu tun ist
Ein Datenleck oder unbefugter Zugriff auf Personendaten kann eine Meldepflicht gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) auslösen, wenn ein hohes Risiko für die betroffenen Personen besteht. Ein im Voraus festgelegtes Verfahren (wer macht was, innert welcher Frist) verhindert Improvisation im Ernstfall.
Ein wichtiger Hinweis
Dieser Ratgeber stellt allgemeine Regeln dar, keine individuelle Rechtsberatung. Das erforderliche Niveau hängt vom Umfang und der Sensibilität der tatsächlich bearbeiteten Daten ab.
Für eine auf Ihre Tätigkeit zugeschnittene Konformität siehe unsere Abo-Formeln.