Datenschutz im Kundenstamm: was das nDSG von KMU verlangt

Das revidierte Datenschutzgesetz (DSG, oft «nDSG» genannt) gilt seit dem 1. September 2023 und damit auch für Ihren Kundenstamm. Geschützt sind die Daten natürlicher Personen: Privatkunden, Einzelunternehmer und die Ansprechpersonen Ihrer Firmenkunden. Als KMU halten Sie die Bearbeitungsgrundsätze ein, informieren Ihre Kunden, beantworten Auskunftsbegehren und sichern die Daten.

Was zum Kundenstamm gehört

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). In der Kundendatei sind das Name, Adresse, Objektadresse, E-Mail, Telefon, Zahlungsverhalten und Notizen. «Bearbeiten» meint jeden Umgang, vom Beschaffen über das Speichern und Weitergeben bis zum Löschen (Art. 5 lit. d DSG).

Bei Firmenkunden unterscheiden Sie: Angaben zur Firma selbst fallen laut EDÖB nicht mehr unter das Gesetz. Die Ansprechperson dagegen ist eine natürliche Person, ebenso der Inhaber eines Einzelunternehmens. Strenger sind die Regeln für besonders schützenswerte Daten, etwa zur Gesundheit (Art. 5 lit. c DSG). Ein Vermerk wie «im Rollstuhl» ist in der Regel eine Gesundheitsangabe. Notieren Sie stattdessen die technische Anforderung, zum Beispiel «schwellenlose Dusche».

Die Grundsätze im Alltag

Eine Einwilligung brauchen Sie für die Kundendatei in der Regel nicht. Bei Daten über Vertragspartner im unmittelbaren Zusammenhang mit Abschluss oder Abwicklung eines Vertrags nennt das Gesetz ausdrücklich ein überwiegendes Interesse (Art. 31 Abs. 2 lit. a DSG). Wie das bei einzelnen Offerten aussieht, zeigt Kundendaten in Offerten: Datenschutz in der Praxis.

Informationspflicht: die Datenschutzerklärung

Wer Personendaten beschafft, informiert die betroffene Person angemessen (Art. 19 Abs. 1 DSG). Mindestens nennen Sie:

• Identität und Kontaktdaten Ihres Betriebs,
• den Zweck der Bearbeitung,
• gegebenenfalls die Empfänger oder Kategorien von Empfängern, etwa Subunternehmer, Lieferanten oder IT-Dienstleister,
• bei Bekanntgabe ins Ausland den Staat.

Die Angaben müssen präzise, transparent, verständlich und leicht zugänglich sein (Art. 13 DSV). Üblich ist eine Datenschutzerklärung auf der Website, auf die Offerten und Vertragsunterlagen verweisen. Der EDÖB rät, sie erst zu schreiben, wenn Sie wissen, welche Daten Sie wie, wo und wie lange bearbeiten, und warnt vor vagen Formulierungen. Die Pflicht entfällt, soweit die Person die Informationen bereits hat (Art. 20 Abs. 1 lit. a DSG). Wer sie vorsätzlich verletzt, riskiert auf Antrag eine Busse bis CHF 250'000.00 (Art. 60 DSG).

Auskunft, Berichtigung und Löschung

• Auskunft: Jede Person kann ohne Begründung Auskunft darüber verlangen, ob Sie Daten über sie bearbeiten (Art. 25 DSG). Sie teilen mindestens mit: Ihre Identität, die bearbeiteten Daten, den Zweck, die Aufbewahrungsdauer, die Herkunft und die Empfänger. Die Auskunft ist kostenlos, bei unverhältnismässigem Aufwand dürfen Sie höchstens CHF 300.00 verlangen. Sie erfolgt in der Regel innert 30 Tagen (Art. 25 Abs. 7 DSG, Art. 18 DSV). Prüfen Sie die Identität der anfragenden Person (Art. 16 Abs. 5 DSV). Antworten Sie auch dann, wenn Sie keine Daten haben.
• Berichtigung: Unrichtige Daten berichtigen Sie auf Verlangen (Art. 32 Abs. 1 DSG).
• Löschung: Eine Person kann verlangen, dass ihre Daten gelöscht werden, notfalls auf dem Klageweg (Art. 32 Abs. 2 lit. c DSG). Das Recht ist laut EDÖB nicht absolut. Sie dürfen Daten behalten, wenn Sie sie für einen Rechtsstreit oder offene Forderungen brauchen oder eine gesetzliche Aufbewahrungspflicht besteht. Für Rechnungen und Belege gilt sie, siehe Aufbewahrungspflicht für Geschäftsunterlagen in der Schweiz.
• Herausgabe: Wer seine Daten Ihnen bekanntgegeben hat, kann sie in einem gängigen Format verlangen, wenn Sie sie automatisiert bearbeiten und sie auf einem Vertrag oder einer Einwilligung beruhen (Art. 28 DSG).

In bexio lassen sich Kontakte nicht löschen, nur archivieren. Archivierte Kontakte können Sie in Dokumenten nicht mehr verwenden. Sollen Daten ganz verschwinden, überschreiben Sie laut bexio-Hilfe Name, Adresse und E-Mail mit Platzhalterdaten und archivieren den Kontakt danach. Das lässt sich nicht automatisch rückgängig machen. Kontaktdaten auf bestehenden Rechnungen und Buchungen können Sie nicht ändern. Für eine Auskunft stellen Sie die Daten zusammen: Excel-Export des Kontakts, seine Notizen und Dateien sowie die Verkaufsdokumente als PDF-Export.

Verzeichnis, Dienstleister und Datenpannen

Verzeichnis: Verantwortliche führen ein Verzeichnis ihrer Bearbeitungstätigkeiten (Art. 12 DSG). Unternehmen mit weniger als 250 Mitarbeitenden am 1. Januar sind befreit, ausser sie bearbeiten besonders schützenswerte Daten in grossem Umfang oder betreiben ein Profiling mit hohem Risiko (Art. 24 DSV). Informations- und Auskunftspflichten gelten laut EDÖB trotzdem. Eine einseitige Übersicht mit Zweck, Datenkategorien, Empfängern, Aufbewahrungsdauer und Schutzmassnahmen lohnt sich auch ohne Pflicht: Dieselben Angaben brauchen Sie für die Datenschutzerklärung und für Auskünfte.

Dienstleister: Lassen Sie Daten durch Dritte bearbeiten, etwa durch Softwareanbieter oder IT-Partner, regeln Sie das vertraglich. Sie müssen sich vergewissern, dass diese die Datensicherheit gewährleisten können (Art. 9 DSG). Auskunftspflichtig bleiben Sie selbst (Art. 25 Abs. 4 DSG). Wie Sie das bei automatisierten Abläufen prüfen, steht in Automatisierung und Datenschutz: worauf KMU achten müssen.

Datenpannen: Eine Verletzung der Datensicherheit liegt vor, wenn Daten unbeabsichtigt oder widerrechtlich verloren gehen, verändert werden oder Unbefugten zugänglich sind (Art. 5 lit. h DSG), zum Beispiel durch ein gestohlenes Smartphone mit Kundenliste. Führt sie voraussichtlich zu einem hohen Risiko für die Betroffenen, melden Sie sie dem EDÖB so rasch als möglich über sein Meldeportal (Art. 24 DSG). Halten Sie jeden Vorfall schriftlich fest, denn die Verordnung verlangt eine Dokumentation der Verletzungen (Art. 15 Abs. 4 DSV).

In sechs Schritten umsetzen

1. Listen Sie auf, welche Kundendaten Sie wo führen und wozu.
2. Streichen Sie Felder ohne Zweck und legen Sie Pflichtfelder fest, wie in Pflichtfelder und Datenqualität im Kundenstamm beschrieben.
3. Prüfen Sie Ihre Datenschutzerklärung und verweisen Sie in Offerten und E-Mails darauf.
4. Vergeben Sie Zugriffsrechte nach Aufgabe.
5. Bestimmen Sie, wer Auskunfts- und Löschbegehren innert 30 Tagen bearbeitet.
6. Legen Sie Aufbewahrungs- und Löschfristen pro Datenart fest.

efatto, der digitale Innendienst für bexio, erstellt Offerten und Kontakte per Sprachnachricht als Entwurf in Ihrem bexio. Neue Kontakte entstehen mit Dublettenprüfung und Pflichtfeldern. Sie prüfen und geben frei. Angaben zu Datenschutz und Betrieb finden Sie unter Sicherheit. Demo anfragen

Häufige Fragen

Gilt das DSG auch für Firmenkunden?

Für die Firma selbst nicht mehr. Für Ansprechpersonen, Inhaber von Einzelunternehmen und Mitarbeitende Ihres Kunden gilt es weiterhin, denn das sind natürliche Personen.

Darf ich Kunden einen Newsletter senden?

Massenwerbung per E-Mail setzt nach Art. 3 Abs. 1 lit. o UWG grundsätzlich die vorherige Einwilligung voraus. Für eigene ähnliche Leistungen dürfen Sie bestehenden Kunden ohne Einwilligung schreiben, wenn Sie beim Verkauf auf die Ablehnungsmöglichkeit hingewiesen haben. Jede Mail braucht den korrekten Absender und eine einfache, kostenlose Abmeldung.

Muss ich einen Datenschutzberater ernennen?

Nein. Für private Verantwortliche ist die Ernennung laut EDÖB freiwillig.

Fazit

Ihr Kundenstamm ist ein Datenbestand mit klaren, überschaubaren Pflichten. Erfassen Sie nur, was Sie brauchen, informieren Sie transparent, sichern Sie den Zugang und klären Sie, wer Auskunfts- und Löschbegehren bearbeitet. Da sich Kontakte in bexio nur archivieren und nicht löschen lassen, planen Sie Löschung und Aufbewahrung am besten von Anfang an.

Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechts- oder Steuerberatung.