Datenschutz bei eigener Software: Was das nDSG von Ihnen verlangt

Datenschutz ist in vielen Betrieben das Thema, das man gern einem Anwalt oder «der IT» überlässt. Bei eigener Software geht das nicht, weil die wichtigsten Entscheide beim Bau fallen: Welche Daten werden gespeichert, wo, wie lange, wer sieht sie. Dieser Artikel erklärt, was das revidierte Datenschutzgesetz verlangt, was das für eine Anwendung bedeutet und wie wir es in Projekten handhaben. Er ersetzt keine Rechtsberatung, aber er sorgt dafür, dass Sie die richtigen Fragen stellen.

Was sich mit dem nDSG geändert hat

Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft, ohne Übergangsfrist. Es bringt das Schweizer Recht näher an die europäische DSGVO, bleibt aber in einigen Punkten pragmatischer. Für einen Betrieb, der Software mit Kundendaten einsetzt, sind vor allem diese Punkte neu oder verschärft:

• Informationspflicht: Wer Personendaten beschafft, muss die betroffene Person darüber informieren. In der Praxis heisst das: eine Datenschutzerklärung, die sagt, was Sie mit den Daten tun und an wen Sie sie weitergeben.
• Verzeichnis der Bearbeitungstätigkeiten: Grundsätzlich Pflicht; Betriebe mit weniger als 250 Mitarbeitenden sind davon ausgenommen, sofern kein hohes Risiko besteht. Sinnvoll ist es trotzdem, weil es die Grundlage für alles andere ist.
• Privacy by Design und by Default: Datenschutz muss von Anfang an in die Technik eingebaut sein, und die Voreinstellungen müssen die datensparsamste Variante sein. Das betrifft eigene Software direkt.
• Meldepflicht bei Datensicherheitsverletzungen: Wenn Daten abhandenkommen und ein hohes Risiko für die Betroffenen besteht, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, kurz EDÖB, so rasch als möglich zu informieren.
• Persönliche Verantwortung: Bei vorsätzlichen Verstössen gegen bestimmte Pflichten drohen Bussen gegen die verantwortlichen natürlichen Personen, nicht nur gegen die Firma.

Was das für eine Anwendung bedeutet

Privacy by Design klingt abstrakt, ist in der Praxis aber eine Reihe von Entscheiden im Zuschnitt und im Bau. Wir gehen sie in jedem Projekt durch:

1. 01
   Datensparsamkeit

   Welche Personendaten braucht der Ablauf wirklich? Ein Kundenportal braucht Name, E-Mail und Aufträge. Es braucht nicht das Geburtsdatum, nur weil das Feld im ERP existiert. Was nicht gebraucht wird, wird nicht übernommen.

2. 02
   Zugriff nach Rolle

   Wer darf was sehen? Der Innendienst alle Kunden, der Aussendienst seine Region, der Kunde nur sich selbst. Das ist nicht nur Datenschutz, sondern auch Schutz vor Fehlern.

3. 03
   Protokollierung

   Wer hat wann welche Daten angesehen oder geändert? Das Protokoll beantwortet Auskunftsbegehren, hilft bei Vorfällen und ist zugleich die Grundlage dafür, Zugriffe zu beschränken, wo sie nicht nötig sind.

4. 04
   Löschung und Aufbewahrung

   Daten haben ein Ablaufdatum. Offerten, die nie Auftrag wurden, nach zwei Jahren; Bewerbungen nach Abschluss des Verfahrens. Die Anwendung muss löschen können, ohne dass jemand von Hand durch Tabellen geht, und zugleich die handelsrechtlichen Aufbewahrungsfristen für Geschäftsbelege einhalten.

5. 05
   Auskunft und Export

   Jede Person darf wissen, welche Daten Sie über sie haben. Eine Anwendung, die das auf Knopfdruck zusammenstellt, spart Ihnen bei der ersten Anfrage einen Tag Arbeit.

6. 06
   Sicherheit

   Verschlüsselte Verbindungen, verschlüsselte Sicherungen, sichere Anmeldung, aktuelle Bausteine. Das ist der Teil, den das Gesetz «angemessene Datensicherheit» nennt und den wir nach einer festen Checkliste prüfen.

Hosting: wo die Daten liegen

Das nDSG verbietet nicht, Daten im Ausland zu speichern. Es verlangt, dass das Zielland einen angemessenen Datenschutz hat oder dass dieser vertraglich sichergestellt wird. Der Bundesrat führt eine Liste solcher Länder; die EU-Staaten stehen darauf. Für die USA gilt seit 2024 ein Rahmenabkommen für zertifizierte Unternehmen. Praktisch heisst das: Hosting in der Schweiz oder der EU ist die einfachste Variante, weil Sie weniger erklären müssen. Hosting bei einem US-Anbieter ist möglich, braucht aber einen Blick auf Zertifizierung und Vertrag.

Wir bauen Anwendungen so, dass das Hosting Ihre Wahl bleibt, und empfehlen für Anwendungen mit Kundendaten in der Regel einen Anbieter mit Rechenzentrum in der Schweiz oder der EU. Die Konten laufen auf Ihren Namen. Mehr zum Betrieb in Modul 08.

Auftragsbearbeitung: wer für Sie arbeitet

Jeder, der in Ihrem Auftrag Personendaten bearbeitet, ist ein Auftragsbearbeiter: der Hosting-Anbieter, der E-Mail-Dienst, der KI-Anbieter, und während des Projekts auch wir, sofern wir echte Daten sehen. Mit jedem braucht es einen Vertrag, der festhält, dass die Daten nur in Ihrem Auftrag und nach Ihren Weisungen bearbeitet werden. Die grossen Anbieter haben solche Verträge als Standard; man muss sie nur annehmen. Im Zuschnitt stellen wir die Liste aller Auftragsbearbeiter Ihrer Anwendung zusammen.

Während der Entwicklung arbeiten wir mit Testdaten. Echte Kundendaten kommen erst bei der Übergabe auf Ihr System. So bleibt die Liste kurz.

Was beim Einsatz von KI dazukommt

Ein Sprachmodell, das Ihre Dokumente liest, ist ein Auftragsbearbeiter wie jeder andere, mit zwei Besonderheiten. Erstens: Manche Anbieter nutzen Eingaben zum Training ihrer Modelle, wenn man es nicht vertraglich ausschliesst. Für Geschäftskunden bieten die grossen Anbieter Verträge an, die das ausschliessen; die nehmen wir. Zweitens: Die Modelle laufen oft in den USA. Es gibt Anbieter mit Betrieb in der Schweiz und der EU, und es gibt die Möglichkeit, Personendaten vor dem Senden zu entfernen oder zu ersetzen. Welche Variante passt, hängt davon ab, welche Daten das Modell wirklich braucht. Ein Modell, das Ausschreibungen in Positionen zerlegt, braucht keine Personendaten. Mehr dazu auf unserer Seite zur KI-Entwicklung.

Dazu kommt die Transparenz: Wenn eine Anwendung Entscheide automatisiert trifft, die eine Person erheblich betreffen, muss sie das offenlegen. Darum bauen wir so, dass das Modell vorschlägt und ein Mensch entscheidet. Das ist nicht nur sicherer, es erspart auch diese Frage.

Checkliste fürs Projekt

• Welche Personendaten verarbeitet die Anwendung, und wofür? (Grundlage für das Verzeichnis und die Datenschutzerklärung)
• Wo liegen die Daten, und auf wessen Namen läuft das Konto?
• Wer sind die Auftragsbearbeiter, und liegt mit jedem ein Vertrag vor?
• Wer darf was sehen, und wird das protokolliert?
• Wann werden Daten gelöscht, und kann die Anwendung das selbst?
• Wie beantworten Sie ein Auskunftsbegehren innert dreissig Tagen?
• Was passiert bei einem Vorfall: Wer merkt es, wer meldet es, an wen?
• Ist Ihre Datenschutzerklärung nach dem Projekt noch richtig?

Diese Liste gehen wir im Zuschnitt mit Ihnen durch, und die Antworten landen in der Dokumentation der Anwendung. Wenn Sie heute eine Anwendung betreiben und die Liste Lücken zeigt, ist das ein guter Anlass für ein Gespräch, auch ohne neues Projekt.