Seit dem 1. September 2023 gilt das revidierte Schweizer Datenschutzgesetz. Für Softwareprojekte hat das konkrete Folgen, die sich gut abarbeiten lassen — wenn man sie vor dem Projekt klärt und nicht danach.
Hinweis: Wir sind Softwareentwickler, keine Rechtsberatung. Dieser Artikel gibt technische Orientierung. Die rechtliche Beurteilung Ihres Falls gehört zu einer Anwältin oder einem spezialisierten Berater.
Was sich mit dem revidierten DSG geändert hat
Die wichtigsten Punkte für Betriebe, die Software einsetzen oder entwickeln lassen:
- Datenschutz durch Technikgestaltung. Datenschutz muss beim Bau berücksichtigt werden, nicht nachträglich aufgesetzt. Praktisch: Rollenkonzept, Verschlüsselung und Löschfristen gehören in die Anforderungen, nicht in die Nachbesserung.
- Datenschutzfreundliche Voreinstellungen. Die Standardeinstellung ist die sparsame. Wer mehr Daten sehen oder teilen will, muss das aktiv einstellen.
- Bearbeitungsverzeichnis. Pflicht für die meisten Unternehmen; kleine Betriebe unter 250 Mitarbeitenden sind teilweise ausgenommen, aber nicht wenn besonders schützenswerte Daten in grossem Umfang bearbeitet werden.
- Meldepflicht bei Verletzungen. Datenschutzverletzungen mit hohem Risiko müssen dem EDÖB gemeldet werden, so rasch als möglich.
- Erweiterte Informationspflicht. Betroffene müssen wissen, welche Daten wofür bearbeitet werden und wohin sie gegebenenfalls ins Ausland gehen.
- Strafbestimmungen richten sich an Personen. Nicht an das Unternehmen, sondern an verantwortliche natürliche Personen. Das ändert die Risikoabwägung in der Geschäftsleitung spürbar.
Besonders schützenswerte Personendaten
Diese Kategorie entscheidet über den Aufwand im Projekt. Dazu gehören unter anderem Gesundheitsdaten, Daten über religiöse, weltanschauliche oder politische Ansichten, Daten über Massnahmen der sozialen Hilfe, über Strafverfolgung und Sanktionen sowie genetische und biometrische Daten.
Wer solche Daten bearbeitet — Praxen, Therapiebetriebe, soziale Institutionen, teilweise Personaldienstleister und Kanzleien — muss mit höheren Anforderungen rechnen: strengere Zugriffskontrolle, Protokollierung, oft eine Datenschutz-Folgenabschätzung und in der Regel eine ausdrückliche Einwilligung.
Praktisch heisst das im Projekt: Rechnen Sie mit 15 bis 30 Prozent Mehraufwand gegenüber einem vergleichbaren Projekt ohne solche Daten.
Bearbeitungsverzeichnis
Ein Verzeichnis darüber, welche Personendaten Sie wofür bearbeiten. Es klingt nach Bürokratie, ist aber in der Praxis das nützlichste Dokument im ganzen Bereich — weil es Sie zwingt, sich einen Überblick zu verschaffen.
Pro Bearbeitung gehören hinein: Zweck, Kategorien der betroffenen Personen und Daten, Empfänger, Aufbewahrungsdauer, Sicherheitsmassnahmen und allfällige Bekanntgabe ins Ausland.
Wir liefern in unseren Projekten den technischen Beitrag: welche Daten die Anwendung speichert, wo sie liegen, wer Zugriff hat, welche Dienste eingebunden sind und wie lange gespeichert wird. Die Führung des Verzeichnisses bleibt bei Ihnen.
Auftragsbearbeitung und Unterauftragnehmer
Wenn wir Software für Sie betreiben, sind wir Auftragsbearbeiter. Dafür braucht es einen schriftlichen Vertrag, der mindestens regelt: welche Daten bearbeitet werden, zu welchem Zweck, welche Sicherheitsmassnahmen gelten, wie mit Unterauftragnehmern umgegangen wird und was bei Vertragsende passiert.
Der Punkt, der am häufigsten übersehen wird, sind die Unterauftragnehmer. Ihr Hosting-Anbieter, der SMS-Dienst, der Zahlungsanbieter, der E-Mail-Versanddienst, das KI-Modell — jeder davon ist einer. Sie sollten eine Liste dieser Dienste erhalten und über Änderungen informiert werden. Wir legen sie in unseren Projekten von Beginn an offen.
Hosting: Schweiz, EU oder anderswo
Das DSG verbietet Auslandhosting nicht. Es verlangt, dass das Zielland einen angemessenen Schutz bietet oder andere Garantien greifen. Die EU gilt als angemessen; für die USA existiert seit 2024 ein Rahmen, unter dem zertifizierte Unternehmen anerkannt sind.
Praktisch empfehlen wir eine einfache Abstufung:
| datenart | empfehlung |
|---|---|
| Gesundheits-, Mandanten-, Sozialdaten | Schweiz, ohne Ausnahme |
| Personaldaten, Lohn | Schweiz oder EU |
| Kundenstammdaten, Aufträge | Schweiz oder EU |
| Anonymisierte Auswertungen | frei wählbar |
Der Kostenunterschied zwischen Schweizer und internationalem Hosting ist bei KMU-Anwendungen meist gering — oft wenige Franken im Monat. Bei heiklen Daten ist die Diskussion die Ersparnis nicht wert.
KI und Datenschutz
Der Punkt, der 2026 die meisten Fragen aufwirft. Drei Aspekte:
Wohin gehen die Daten? Über die API-Zugänge der grossen Anbieter werden Eingaben standardmässig nicht zum Modelltraining verwendet. Das ist der zentrale Unterschied zu den kostenlosen Chat-Oberflächen, in die Mitarbeitende gerne Kundendaten kopieren — dort ist die Lage anders und die Kontrolle geringer.
Ist es Bekanntgabe ins Ausland? Ja, wenn das Modell im Ausland läuft. Das gehört ins Bearbeitungsverzeichnis und in die Datenschutzerklärung.
Braucht es eine Folgenabschätzung? Wenn besonders schützenswerte Daten in grossem Umfang oder automatisierte Einzelentscheide im Spiel sind: sehr wahrscheinlich ja.
Unsere Standardempfehlung bei heiklen Daten: Modelle einsetzen, die auf Schweizer oder EU-Infrastruktur laufen — bei Berufsgeheimnisträgern auf Servern, die Sie kontrollieren. Die Qualität offener Modelle reicht für Klassifikation, Zusammenfassung und Textvorschläge meist aus.
Aufbewahren und Löschen
Personendaten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist. Gleichzeitig gibt es gesetzliche Aufbewahrungspflichten — im Geschäftsbereich in der Regel zehn Jahre, im Gesundheitswesen je nach Kanton und Fall zehn bis zwanzig Jahre.
Praktisch bedeutet das: Löschfristen pro Datenart definieren, automatisch umsetzen und das Ergebnis protokollieren. Ein Beispiel: Bewerbungsdossiers nach sechs Monaten löschen, sofern keine Einwilligung für längere Aufbewahrung vorliegt. Das lässt sich technisch abbilden — es muss nur jemand entscheiden.
Praktische Checkliste vor Projektstart
- Welche Personendaten werden bearbeitet, und sind besonders schützenswerte dabei?
- Wo liegen die Daten, und wer sind die Unterauftragnehmer?
- Wer darf was sehen — liegt ein Rollenkonzept vor?
- Wie lange wird aufbewahrt, und wie wird gelöscht?
- Ist ein Auftragsbearbeitungsvertrag unterzeichnet?
- Wie werden Auskunftsbegehren beantwortet — und wie schnell?
- Was passiert bei einer Datenschutzverletzung, und wer meldet?
- Braucht es eine Datenschutz-Folgenabschätzung?
Wir arbeiten diese Punkte in jedem Projekt vor Entwicklungsbeginn durch und halten das Ergebnis schriftlich fest. Nicht aus Formalismus, sondern weil eine nachträgliche Anpassung an diesen Punkten regelmässig teurer ist als der Bau selbst.
Häufige Fragen
Müssen Daten von Schweizer Unternehmen in der Schweiz liegen?
Das DSG verlangt das nicht generell. Es verlangt angemessenen Schutz im Zielland oder andere Garantien. Für Gesundheits-, Mandanten- und Sozialdaten empfehlen wir trotzdem ausnahmslos Schweizer Hosting — der Kostenunterschied ist gering, die Diskussion es nicht wert.
Was sind besonders schützenswerte Personendaten?
Unter anderem Gesundheitsdaten, Daten über religiöse oder politische Ansichten, über Massnahmen der sozialen Hilfe, über Strafverfolgung sowie genetische und biometrische Daten. Ihre Bearbeitung erfordert strengere Zugriffskontrolle und meist eine ausdrückliche Einwilligung.
Braucht unser Unternehmen ein Bearbeitungsverzeichnis?
Für die meisten Unternehmen ja. Betriebe unter 250 Mitarbeitenden sind teilweise ausgenommen — nicht aber, wenn besonders schützenswerte Daten in grossem Umfang bearbeitet werden. Unabhängig von der Pflicht ist es das nützlichste Dokument im ganzen Bereich.
Ist der Einsatz von KI mit dem DSG vereinbar?
Ja, wenn geklärt ist, wohin die Daten gehen, das ins Bearbeitungsverzeichnis und die Datenschutzerklärung aufgenommen wird und bei besonders schützenswerten Daten eine Folgenabschätzung erfolgt. Bei heiklen Daten empfehlen wir Modelle auf Schweizer oder EU-Infrastruktur.
Ihr Projekt besprechen?
Das Erstgespräch ist kostenlos und unverbindlich. Wir nennen eine Bandbreite für Aufwand und Kosten — und sagen ab, wenn es sich nicht lohnt.
Kontakt aufnehmen