7 DSGVO- und Schweizer DSG-Fehler, die KMU am teuersten zu stehen kommen
Von verpassten Meldefristen bei Datenschutzverletzungen bis zu Phantom-Subprozessoren: Die meisten Datenschutz-Pannen liessen sich vermeiden. Hier sind die häufigsten Fehler von Schweizer KMU – und wie man sie behebt.
Datenschutz-Compliance ist kein glamouröses Thema, deshalb wird sie oft hastig, einmalig und danach nie wieder angeschaut erledigt. Das mag funktioniert haben, solange niemand genau hinsah. Spätestens mit dem Inkrafttreten des revidierten Schweizer Datenschutzgesetzes (revDSG) neben der EU-DSGVO ist damit Schluss: Die Behörden auf beiden Seiten der Grenze haben klar geschärfte Zähne, und Schweizer Unternehmen, die Personendaten aus der EU bearbeiten, müssen zwei sich überschneidende Regelwerke gleichzeitig erfüllen.
Die meisten Compliance-Pannen bei kleinen und mittleren Unternehmen entstehen nicht aus bösem Willen, sondern aus vorhersehbaren Lücken im Prozess. Hier sind die häufigsten, die wir sehen, weshalb sie passieren – und was sie im Ernstfall tatsächlich kosten.
Fehler 1: DSGVO und DSG als dasselbe behandeln
Viele Schweizer KMU gehen davon aus, dass DSGVO-Konformität automatisch auch DSG-Konformität bedeutet – oder umgekehrt. Die beiden Regelwerke decken sich aber nicht vollständig. Am deutlichsten zeigt sich das bei der Meldepflicht: Die DSGVO gibt eine feste Frist von 72 Stunden gegenüber der Aufsichtsbehörde vor, während das Schweizer DSG lediglich eine Meldung "so rasch als möglich" verlangt – ein anderer Massstab mit anderer zeitlicher Logik. Wenn Ihr Verzeichnis nicht weiss, welcher Rechtsordnung ein bestimmter Datensatz unterliegt, melden Sie entweder unter der falschen Frist zu früh oder verpassen die tatsächliche Frist.
Die Lösung liegt in der Struktur: Jeder Eintrag braucht von Anfang an eine Zuordnung zur Rechtsordnung, damit die richtige Uhr – 72 Stunden oder "so rasch als möglich" – automatisch läuft, ohne dass jemand jedes Mal manuell prüfen muss, welches Gesetz greift.
Fehler 2: Kein Verantwortlichenverzeichnis – oder eines, das niemand pflegt
Erstaunlich viele Unternehmen haben nie ein Verantwortlichenverzeichnis samt DSB-Eintrag und Angaben zum EU-Vertreter erstellt – oder haben es einmal für ein Audit angelegt und danach veralten lassen. Fragt dann eine Aufsichtsbehörde oder die Einkaufsabteilung eines Kunden danach, verbringt jemand einen ganzen Tag damit, alles aus dem Gedächtnis zu rekonstruieren.
Hier sollte sich das Verzeichnis eigentlich von selbst aufbauen. Ein KI-gestütztes Interview, das das Verantwortlichenverzeichnis und den DSB-Eintrag samt EU-Vertreter-Feldern vorausfüllt, macht aus einer halbtägigen Aufgabe eine Sache von fünfzehn Minuten – und weil alles im selben Arbeitsbereich wie der Rest des Geschäfts liegt, veraltet es nicht unbemerkt.
Fehler 3: Ein Verzeichnis der Bearbeitungstätigkeiten (Art. 30), das seit 2021 als Word-Dokument existiert
Das Verzeichnis der Bearbeitungstätigkeiten (Art. 30) soll eine lebendige Übersicht darüber sein, welche Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und an wen weitergegeben bearbeiten. In der Praxis ist es oft ein Dokument, das für ein einziges Audit erstellt und danach nie wieder angerührt wurde – und das bedeutet, dass es schon nach wenigen Monaten nicht mehr der Realität entspricht.
Wird das Verzeichnis über ein KI-Interview vorausgefüllt – inklusive Rechtsgrundlage, Aufbewahrungsdauer und Empfänger – bleibt es ein laufend nutzbares Register statt eines einmaligen Nachweisdokuments.
Fehler 4: Den Überblick über Subprozessoren verlieren
Nach Art. 28 sind Sie dafür verantwortlich zu wissen, wer in Ihrem Auftrag Personendaten bearbeitet – Ihr Hosting-Anbieter, Ihre E-Mail-Plattform, Ihr Lohnbüro. Der häufigste Fehler ist eine Subprozessoren-Liste, die beim Vertragsabschluss korrekt war und seither nicht mehr aktualisiert wurde, weil niemand jede neue Auftragsverarbeitungsvereinbarung (DPA), die im Posteingang landet, nochmals durchliest.
Eine automatische Erkennung direkt aus Ihrer eigenen Umgebung, kombiniert mit KI-Extraktion, die aus einer hochgeladenen DPA-PDF strukturierte Felder macht, schliesst diese Lücke, ohne dass jemand Verträge manuell abtippen muss.
Fehler 5: Die DSFA-Schwellenwertprüfung komplett auslassen
Eine Datenschutz-Folgenabschätzung (DSFA, Art. 35) ist erst ab einem bestimmten Risikoschwellenwert Pflicht – aber die meisten KMU führen die Schwellenwertprüfung erst gar nicht durch und wissen deshalb gar nicht, ob sie diese Schwelle überschritten haben. Das eigentliche Risiko liegt nicht darin, eine DSFA falsch zu machen, sondern nie geprüft zu haben, ob überhaupt eine nötig gewesen wäre.
Eine KI-Risikoanalyse per Klick, die die Schwellenwertprüfung durchführt und bei Bedarf gleich eine vollständige DSFA entwirft, lässt die Ausrede "dafür hatten wir keine Zeit" nicht mehr gelten.
Fehler 6: Die 30-Tage-Frist bei Auskunftsbegehren verpassen
Für Auskunftsbegehren betroffener Personen gilt eine Antwortfrist von 30 Tagen mit der Möglichkeit einer Verlängerung um weitere 60 Tage. Verpasste Fristen sind selten Absicht – meist landet die Anfrage in einem allgemeinen Posteingang und geht unter. Der Schaden ist dabei mindestens so sehr ein Reputationsschaden wie ein regulatorischer: Wer einem Unternehmen für die eigenen Daten hinterherlaufen muss, vergisst das nicht so schnell.
Wenn die Frist automatisch mitverfolgt wird, eine Verlängerung per Klick möglich ist und exportierbare Art.-15-Zusammenstellungen automatisch generiert werden, wird aus einer Aufgabe, die früher den Abgleich von drei Systemen erforderte, eine Sache von wenigen Minuten.
Fehler 7: TOM und Schulungen, die nur auf dem Papier existieren
Technische und organisatorische Massnahmen (TOM, Art. 32) und Mitarbeiterschulungen sind zwei Bereiche, in denen "wir haben eine Richtlinie" und "unsere Leute kennen sie tatsächlich" himmelweit auseinanderliegen. Ein Ordner mit TOM, den niemand auf das eigene Geschäft zugeschnitten hat, oder eine Schulung, die einmalig beim Onboarding stattfand, erfüllt zwar formal eine Checkliste, bewirkt aber wenig gegen das reale Risiko.
Ein TOM-Baseline-Generator, der konkrete, stichwortartige Massnahmen über zwölf Kategorien hinweg erstellt – zugeschnitten auf Ihren Mandanten statt generisch –, gibt Ihnen einen Ausgangspunkt, der wirklich zu Ihrem Unternehmen passt. Kombiniert mit Schulungsaufträgen, die E-Mail-Einladungen, "Gelesen und verstanden"-Bestätigungstoken und Erinnerungen per Klick umfassen, können Sie tatsächliches Engagement nachweisen – nicht nur die blosse Absicht.
Was das Ganze verbindet
Keiner dieser Fehler ist exotisch. Sie passieren, weil Datenschutz als Nebenprojekt behandelt wird statt als laufender Teil des Geschäfts – und weil die Werkzeuge dafür getrennt von den Werkzeugen für den restlichen Betrieb liegen. Flitz führt das DSGVO- und Schweizer DSG-Compliance-Programm im selben Arbeitsbereich wie Ihre Buchhaltung – mit einer Dokumentenablage, einem öffentlichen Revisions-Dossier mit Passwortschutz und Widerrufsmöglichkeit sowie einem Vorfallsprotokoll für Datenschutzverletzungen, das von sich aus weiss, welche Frist gilt.
Eines bleibt dabei unabhängig vom eingesetzten Tool konstant: KI-generierte Verzeichnisse, DSFA und Meldungen sind ein Ausgangspunkt, keine endgültige Antwort. Auf jeder Seite steht derselbe Hinweis – Flitz erbringt keine Rechtsberatung, und ein Datenschutzberater sollte KI-generierte Entwürfe prüfen, bevor sie irgendwohin gehen. Der Wert liegt nicht darin, diese Prüfung zu umgehen, sondern darin, Ihrem Datenschutzberater einen korrekten, aktuellen Entwurf statt eines leeren Blatts zu geben.