Automatisierung und Datenschutz: worauf KMU achten müssen

Wer Abläufe mit bexio automatisiert, gibt Personendaten an Plattformen, Apps oder Server weiter. Nach dem Datenschutzgesetz (DSG) bleibt Ihr Betrieb dafür verantwortlich. Sie wählen Dienstleister sorgfältig, binden sie vertraglich, prüfen Übermittlungen ins Ausland, sichern die Daten und informieren die betroffenen Personen.

Welche Daten fliessen?

Zeichnen Sie jeden Ablauf auf: Quelle, Stationen, Ziel. Ein Beispiel ist ein Website-Formular, das über eine Automatisierungsplattform in bexio landet. Jede Station, die Personendaten erhält, ist Empfänger oder Auftragsbearbeiter.

Personendaten sind alle Angaben zu einer bestimmten oder bestimmbaren natürlichen Person (Art. 5 Bst. a DSG). Reine Firmendaten gehören nicht dazu. Name, E-Mail-Adresse und Telefonnummer einer Ansprechperson dagegen schon. Als Bearbeiten gilt jeder Umgang, vom Beschaffen über das Speichern und Bekanntgeben bis zum Löschen (Art. 5 Bst. d DSG). Was das für Ihren Kundenstamm bedeutet, erklärt Datenschutz im Kundenstamm: was das nDSG von KMU verlangt.

Auftragsbearbeitung: was Sie mit dem Anbieter regeln

Auftragsbearbeiter ist, wer im Auftrag des Verantwortlichen Personendaten bearbeitet (Art. 5 Bst. k DSG). Der EDÖB nennt als Beispiele Cloud-Anbieter, Webhoster, Versandunternehmen, Call-Center, Treuhandunternehmen und IT-Supportunternehmen. Das gilt auch für Plattformen, die Daten in Ihrem Auftrag weiterleiten. Sie müssen den Anbieter laut EDÖB sorgfältig auswählen, angemessen instruieren und soweit nötig überwachen.

Art. 9 DSG verlangt, dass der Dienst die Daten nur so bearbeitet, wie Sie es dürften, und dass keine Geheimhaltungspflicht die Übertragung verbietet. Sie müssen sich vergewissern, dass er die Datensicherheit gewährleisten kann. Weitere Dienstleister darf er nur mit Ihrer vorgängigen Genehmigung einsetzen. Aus der Checkliste des EDÖB für Cloud-Dienste lassen sich diese Fragen ableiten:

• Weisungen: Bearbeitet der Anbieter die Daten nur auf Ihre dokumentierten Weisungen, oder behält er sich eigene Zwecke vor?
• Vertraulichkeit: Sind seine Mitarbeitenden zur Vertraulichkeit verpflichtet?
• Sicherheit: Welche Massnahmen trifft er, und wie prüft er sie?
• Unterauftragsbearbeiter: Kennen Sie sie, und in welchen Ländern werden die Daten bearbeitet?
• Mitwirkung: Unterstützt er bei Auskunftsgesuchen, Löschung und Audits?
• Meldung: Informiert er Sie bei Verletzungen der Datensicherheit rasch genug, damit Sie Ihre Pflicht erfüllen können?
• Vertragsende: Löscht oder gibt er die Daten zurück?

Bei Zapier und Make unterscheidet sich der Datenstandort. Die Angaben dazu stehen in Zapier und Make mit bexio verbinden.

Art. 61 DSG bestraft vorsätzliches Handeln auf Antrag mit Busse bis CHF 250'000.00, unter anderem bei der Übergabe an einen Auftragsbearbeiter ohne die Voraussetzungen von Art. 9 Abs. 1 und 2 und bei der Bekanntgabe ins Ausland ohne die Voraussetzungen von Art. 16 und 17. Bei Bussen bis CHF 50'000.00 kann nach Art. 64 DSG unter Umständen statt der verantwortlichen Personen der Betrieb zur Zahlung verurteilt werden.

Ausland: Land, Garantie, Information

Als Bekanntgeben gilt das Übermitteln oder Zugänglichmachen von Personendaten (Art. 5 Bst. e DSG). Fragen Sie deshalb nicht nur, wo die Daten liegen, sondern auch, wer von wo darauf zugreifen kann.

1. Angemessener Schutz: Staaten mit angemessenem Datenschutz führt Anhang 1 der Datenschutzverordnung (DSV) auf. Deutschland steht dort. Die USA gelten nur für Organisationen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind. Diese Ergänzung ist laut EDÖB seit dem 15. September 2024 in Kraft.
2. Geeignete Garantien: Fehlt ein Entscheid des Bundesrates, kommen etwa Datenschutzklauseln im Vertrag oder Standarddatenschutzklauseln in Frage. Der EDÖB hat die Klauseln der EU und des Europarats anerkannt.
3. Ausnahmen: Art. 17 DSG nennt Fälle, etwa die ausdrückliche Einwilligung oder die Abwicklung eines Vertrags.

Ein Server in Deutschland löst nicht alles. Der Anbieter kann Unterauftragsbearbeiter in anderen Staaten einsetzen. Zudem müssen Sie die betroffenen Personen über die Bekanntgabe ins Ausland informieren, mit Staat und gegebenenfalls Garantien (Art. 19 Abs. 4 DSG).

Datensicherheit, Information, Löschen, Meldung

• Datensicherheit: Art. 8 DSG verlangt Massnahmen, die dem Risiko angemessen sind. Die DSV nennt in Art. 2 als Ziele Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Nach Art. 7 Abs. 3 DSG beschränken Sie die Bearbeitung auf das nötige Mindestmass: Übertragen Sie nur die Felder, die ein Ablauf braucht. Wie Sie Zugänge und Schlüssel absichern, zeigt Schnittstellen sicher betreiben.
• Information: Bei der Beschaffung informieren Sie über Ihre Identität und Kontaktdaten, den Zweck und die Empfänger oder Empfängerkategorien (Art. 19 DSG). Ergänzen Sie Ihre Datenschutzerklärung, wenn ein neuer Dienst Daten erhält.
• Richtigkeit und Löschen: Daten müssen richtig sein und werden vernichtet oder anonymisiert, sobald sie nicht mehr erforderlich sind (Art. 6 Abs. 4 und 5 DSG). Zur Qualität lesen Sie Datenqualität als Grundlage für jede Automatisierung. In bexio lassen sich Kontakte nicht löschen, nur archivieren. Die bexio-Hilfe beschreibt, wie Sie Kontaktdaten dauerhaft vernichten: relevante Felder überschreiben oder leeren und den Kontakt danach archivieren. Bei bestehender Geschäftsbeziehung rät bexio vom Löschen ab, und Kontaktdaten auf bestehenden Buchungen wie Rechnungen lassen sich nicht ändern. Beachten Sie zudem die gesetzlichen Aufbewahrungspflichten.
• Meldung: Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko melden Sie dem EDÖB so rasch als möglich. Ein Auftragsbearbeiter meldet sie Ihnen so rasch als möglich (Art. 24 DSG). Dokumentieren Sie Vorfälle: Die DSV verlangt, die Dokumentation mindestens zwei Jahre aufzubewahren (Art. 15 DSV).

Checkliste vor dem Start

1. Ablauf zeichnen und festhalten, welche Personendaten fliessen.
2. Nur die nötigen Felder übertragen.
3. Jeden Dienstleister mit den Fragen oben prüfen und einen Auftragsbearbeitungsvertrag abschliessen.
4. Standorte und Unterauftragsbearbeiter klären, bei Auslandbezug Garantien festhalten.
5. Zugriffe und Schlüssel absichern.
6. Datenschutzerklärung anpassen.
7. Festlegen, wer bei einem Vorfall wen informiert.
8. Mit Musterdaten testen, etwa mit «Muster Haustechnik AG».

Wie efatto diese Punkte umsetzt, beschreibt die Seite Sicherheit.

Häufige Fragen

Brauche ich für jeden Dienst einen Vertrag?

Für jeden Dienst, der in Ihrem Auftrag Personendaten bearbeitet, müssen Sie die Voraussetzungen von Art. 9 DSG sicherstellen. Üblich ist ein Auftragsbearbeitungsvertrag, der auch Auftragsverarbeitungsvertrag oder AVV heisst.

Gilt das auch für Ansprechpersonen von Firmenkunden?

Ja. Die Ansprechperson ist eine natürliche Person, ihre Daten sind Personendaten. Angaben zur Firma ohne Personenbezug fallen nicht darunter.

Genügt ein Server in der Schweiz oder in Deutschland?

Der Standort allein genügt nicht. Auch dann gelten die Pflichten zu Auftragsbearbeitung, Datensicherheit und Information. Deutschland steht in Anhang 1 der DSV, bei einer Bekanntgabe ins Ausland müssen Sie aber informieren.

Muss ich ein Verzeichnis der Bearbeitungstätigkeiten führen?

Betriebe mit weniger als 250 Mitarbeitenden sind nach Art. 24 DSV davon befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch.

Fazit

Automatisierung entlastet das Büro, die Verantwortung für die Daten bleibt bei Ihnen. Zeichnen Sie die Datenflüsse auf, übertragen Sie nur Nötiges, binden Sie Dienstleister vertraglich und prüfen Sie Standort und Unterauftragsbearbeiter. Sichern Sie Zugänge ab, aktualisieren Sie die Datenschutzerklärung und legen Sie fest, wer bei einem Vorfall handelt.

Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechts- oder Steuerberatung.