Audit-Woche ohne Panik: Wie ein Schweizer KMU DSGVO/DSG in einem einzigen Workspace meistern könnte
Ein fiktives, aber realistisches Beispiel dafür, wie ein kleines Schweizer Unternehmen eine unangekündigte Datenschutzprüfung mit einem einzigen Workspace für Buchhaltung und Compliance bestehen könnte.
Stellen Sie sich ein kleines Schweizer E-Commerce-Unternehmen vor: zwölf Mitarbeitende, eine Handvoll Marketing-Subunternehmer und Kundschaft sowohl in der Schweiz als auch in der EU. Dies ist ein illustratives Szenario, keine reale Firma – doch es spiegelt eine Situation wider, die viele Schweizer KMU kennen: Ein neuer Kundenvertrag verlangt innert fünf Arbeitstagen den Nachweis der DSGVO- und revDSG-Konformität, und niemand im Team ist hauptamtlicher Datenschutzbeauftragter.
Genau in diesem Moment geraten die meisten kleinen Unternehmen entweder in Panik, engagieren für einen einmaligen Kraftakt eine teure externe Beratung, oder hoffen stillschweigend, dass niemand mehr nachfragt. So könnte dieselbe Woche aussehen, wenn das Datenschutzprogramm direkt im selben Workspace wie die Buchhaltung des Unternehmens integriert ist.
Tag 1: Herausfinden, was tatsächlich verarbeitet wird
Die erste Anfrage des Rechtsdienstes der potenziellen Kundschaft ist schnell gestellt, aber historisch gesehen mühsam zu beantworten: «Schicken Sie uns Ihr Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 (VVT).» Die wenigsten KMU haben so etwas je schriftlich festgehalten.
Statt eine leere Tabelle zu öffnen, führt die Büroleitung ein KI-gestütztes Interview durch, das in einfacher Sprache fragt, welche Daten erhoben werden, wozu, wie lange sie aufbewahrt und an wen sie weitergegeben werden. Die Antworten füllen automatisch einen strukturierten VVT-Eintrag – Rechtsgrundlage, Aufbewahrungsfrist, Empfänger –, ohne dass jemand die Verordnung auswendig kennen muss. Da jeder Datensatz im System weiss, welcher Rechtsordnung er unterliegt, werden EU-Kundendaten und Schweizer Kundendaten von Anfang an getrennt erfasst – wichtig, denn die beiden Regelwerke stimmen nicht immer überein.
Tag 2: Die Subunternehmerliste, die nie aktuell gehalten wurde
Als Nächstes auf der Liste: Subunternehmer nach Art. 28. Das E-Mail-Marketing-Tool, der Cloud-Hosting-Anbieter, der Zahlungsdienstleister – für alle braucht es eine dokumentierte Auftragsverarbeitungsvereinbarung (DPA). Statt alte E-Mail-Verläufe zu durchforsten, lädt das Team die vorhandenen PDFs hoch. Die KI extrahiert die relevanten Angaben – Name des Auftragsverarbeiters, Zweck, Standort, Schutzmassnahmen – direkt aus den Dokumenten in strukturierte Einträge. Zusammen mit der automatischen Erkennung aus der verbundenen Systemumgebung entsteht das Subunternehmerverzeichnis an einem Nachmittag statt in einer Woche.
Tag 3: Braucht es eine DSFA?
Der Fragebogen der Kundschaft will auch wissen, ob für risikoreiche Verarbeitungen – etwa das Treueprogramm, das Kundenverhalten bewertet – eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt wurde. Statt zu raten, führt das Team die Schwellenwertprüfung nach Art. 35 mit einem Klick durch. Die KI-Risikoanalyse bewertet die Verarbeitungstätigkeit anhand anerkannter Risikofaktoren und erstellt bei Bedarf einen vollständigen DSFA-Entwurf. Dieser ist klar als Entwurf gekennzeichnet – der eingebaute Hinweis auf jeder Seite stellt klar, dass Flitz keine Rechtsberatung bietet und KI-erstellte Inhalte stets von der zuständigen Datenschutzbeauftragten oder dem Datenschutzbeauftragten geprüft werden müssen, bevor man sich darauf verlässt.
Tag 4: Die technischen und organisatorischen Massnahmen belegen
Sicherheitsfragebögen fragen gerne nach den technischen und organisatorischen Massnahmen (TOM) gemäss Art. 32. Statt diese von Grund auf zu formulieren, erstellt der TOM-Basisgenerator zwölf Kategorien konkreter, stichpunktartiger Massnahmen, zugeschnitten auf den eigenen Mandanten – Zugriffskontrolle, Verschlüsselung, Backup-Richtlinie und mehr. So erhält das Team ein glaubwürdiges Ausgangsdokument zum Prüfen und Anpassen statt ein leeres Blatt.
Dabei fällt der Büroleitung auch ein, dass zwei neue Mitarbeitende vom Vormonat nie eine Datenschutzschulung erhalten haben. Schulungszuweisungen gehen per E-Mail-Einladung mit einem Bestätigungstoken «Gelesen und verstanden» hinaus; wer nach einigen Tagen nicht bestätigt hat, erhält automatisch eine Erinnerung.
Tag 5: Alles für die Prüfung aufbereiten
Sind VVT, Subunternehmerverzeichnis, DSFA und TOM in gutem Zustand, bleibt als letzter Schritt, alles der Compliance-Prüfung der Kundschaft zu übergeben – ohne einen Stapel Anhänge hin- und herzumailen. Stattdessen wird ein öffentliches Prüferdossier erstellt: passwortgeschützt, zeitlich begrenzt und jederzeit widerrufbar, über ein Token authentifiziert, sodass die prüfende Person kein Konto erstellen oder sich einloggen muss. Der Zugriff lässt sich sofort nach Abschluss der Prüfung sperren.
Was passiert, wenn später ein Vorfall auftritt
Derselbe Workspace arbeitet auch nach der Audit-Woche weiter. Wird ein Vorfall erfasst, passt sich die Meldefrist automatisch an die jeweilige Rechtsordnung an – eine strikte 72-Stunden-Frist gegenüber der Behörde nach DSGVO oder der flexiblere Massstab «so rasch als möglich» nach dem Schweizer DSG –, und KI-erstellte Benachrichtigungsentwürfe für Behörde und betroffene Personen liegen zur Prüfung bereit, statt unter Zeitdruck von Grund auf verfasst werden zu müssen.
Ebenso beginnt bei einem Auskunftsbegehren einer Kundin oder eines Kunden die gesetzliche 30-Tage-Frist automatisch zu laufen, mit der Möglichkeit einer Verlängerung um 60 Tage per Klick bei komplexen Fällen, sowie einem exportfertigen Art.-15-Datenpaket.
Der eigentliche Nutzen: weniger Hektik, mehr Überprüfung
Nichts davon ersetzt das Urteilsvermögen einer qualifizierten Datenschutzbeauftragten oder eines qualifizierten Datenschutzbeauftragten, und jedes KI-generierte Dokument im System trägt diesen Hinweis bewusst. Was sich ändert, ist, wofür das Team seine Zeit einsetzt: Statt Dokumente unter Zeitdruck bei null zu beginnen, verbringt die zuständige Person ihre Zeit damit, bereits grösstenteils korrekte Entwürfe zu prüfen und freizugeben. Genehmigte Dokumente wechseln in der Dokumentenbibliothek vom Entwurfs-Wasserzeichen zum Freigabestempel, sodass auf einen Blick ersichtlich ist, was tatsächlich abgesegnet wurde.
Für KMU, die Compliance neben Buchhaltung, Lohnwesen und dem eigentlichen Tagesgeschäft stemmen müssen, macht genau dieser Wechsel – vom Verfassen zum Überprüfen – oft den Unterschied zwischen Angst vor einer Prüfung und dem einfachen Einplanen eines Termins dafür. Wie das gesamte Programm zusammenspielt, sehen Sie auf der Seite zu DSGVO- und DSG-Compliance-Funktionen.
Ein Compliance-Programm, das neben Ihrer Buchhaltung lebt und nicht in einem separaten Silo aus Tabellen und gemailten PDFs, ist ein Grund weniger, sich vor dem Wort «Audit» zu fürchten.