Die Datenschutz-Folgenabschätzung ist die am gründlichsten missverstandene Pflicht im Schweizer Datenschutzgesetz. In KMU treffen wir zwei Lager an. Das eine hat den Begriff noch nie gehört. Das andere füllt für jedes neue Tool ein Template aus, das länger ist als der Vertrag mit dem Anbieter, und schaut es danach nie wieder an. Beide Lager verpassen, wofür Art. 22 DSG gedacht ist: einmal strukturiert nachzudenken, bevor eine riskante Datenbearbeitung live geht. Der Aufwand dafür ist kleiner, als der Begriff klingt. Die Denkarbeit dahinter lässt sich allerdings durch kein Template ersetzen.
Was die Datenschutz-Folgenabschätzung verlangt
Art. 22 DSG ist erfreulich kurz. Wenn eine geplante Bearbeitung von Personendaten ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringen kann, erstellst du vorgängig eine Datenschutz-Folgenabschätzung. Sie enthält drei Dinge: eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Betroffenen und die Massnahmen, mit denen du diese Risiken in den Griff bekommst.
Das ist alles. Das Gesetz schreibt weder ein Formular noch eine Mindestlänge vor. Es verlangt die dokumentierte Antwort auf eine Frage, die ein sauber geführter Betrieb ohnehin stellt: Was kann hier für die Menschen schiefgehen, deren Daten wir anfassen, und was tun wir dagegen?
Der Begriff klingt nach Konzernjurist. Die Denkbewegung dahinter passt auf einen Bierdeckel.
Wann du eine brauchst und wann nicht
Das Gesetz nennt zwei Konstellationen ausdrücklich: die umfangreiche Bearbeitung besonders schützenswerter Personendaten und die systematische umfangreiche Überwachung öffentlicher Bereiche. Dazu kommt die allgemeine Formel: Ein hohes Risiko kann sich auch aus dem Einsatz neuer Technologien ergeben oder aus Art, Umfang, Umständen und Zweck der Bearbeitung.
Übersetzt in den Alltag eines Schweizer KMU sieht das so aus.
In aller Regel keine DSFA brauchen die Lohnbuchhaltung, ein CRM mit Geschäftskontakten, der Newsletter-Versand oder die übliche Ablage in einer Standard-Cloud. Das sind gewöhnliche Bearbeitungen ohne hohes Risiko. Das Gesetz will sie gar nicht erfasst haben.
Kandidaten für eine DSFA sehen anders aus. Ein KI-Tool, das Bewerbungsdossiers vorsortiert oder Kundengespräche auswertet. Gesundheitsdaten in grösserem Umfang, etwa bei medizinnahen Dienstleistungen oder in der Personalvorsorge. Videoüberwachung, die über den Hauseingang hinausgeht. Systematisches Monitoring von Mitarbeitenden oder Kunden.
Der Punkt mit den neuen Technologien ist gerade jetzt relevant. Viele KMU führen in diesen Monaten KI-Werkzeuge ein, oft auf Personendaten, und oft hat niemand die Risikofrage gestellt. «Einsatz neuer Technologien» steht wörtlich im Gesetz. Nicht jede ChatGPT-Nutzung löst deswegen eine DSFA aus. Aber die Frage stellt sich heute deutlich öfter als noch vor zwei Jahren. Welche Daten überhaupt als heikel gelten, haben wir in unserem Beitrag zur Datenklassifizierung sortiert.
Der typische Fall, den wir sehen: Ein Unternehmen will Bewerbungen mit einem KI-Tool vorsortieren. Der Anbieter versichert, alles sei datenschutzkonform und in der Schweiz gehostet. Beides kann stimmen und beantwortet trotzdem die falsche Frage. Hosting beantwortet keine Risikofrage, wenn das Risiko darin liegt, dass ein Algorithmus Menschen aussortiert, ohne dass jemand nachvollziehen kann, warum. Genau solche Punkte bringt eine DSFA an den Tisch, bevor der Vertrag unterschrieben ist: Was passiert mit abgelehnten Dossiers, gibt es eine automatische Ablehnung ohne menschlichen Blick, erfahren die Bewerber, dass eine Maschine mitliest? In unserer Erfahrung überlebt das Tool diese Prüfung meistens. Es wird nur anders konfiguriert als vom Anbieter vorgeschlagen.
Bleibt die Grauzone. Viele Fälle sind weder eindeutig harmlos noch eindeutig heikel, und das Gesetz nimmt dir die Einschätzung nicht ab. Ein brauchbarer Kompass: Wechsle die Perspektive und stell dir die betroffene Person vor. Würde sie sich unwohl fühlen, wenn sie genau wüsste, was mit ihren Daten passiert, und hätte sie gute Gründe dafür? Wenn du bei dieser Frage zögerst, ist das Zögern selbst die Antwort. Dann lohnt sich der genaue Blick, und sei es nur, um sauber festzuhalten, warum am Ende doch kein hohes Risiko vorliegt.
Die Busse, die es nicht gibt
Jetzt zu dem Teil, den dir kaum ein Template-Anbieter erzählt. Das DSG kennt Bussen bis CHF 250'000, und sie richten sich gegen die verantwortliche Person. Nur: Das Unterlassen einer Datenschutz-Folgenabschätzung steht nicht im Bussenkatalog. Art. 60 DSG bestraft andere Dinge, vor allem verletzte Informations- und Auskunftspflichten sowie falsche Angaben gegenüber dem EDÖB. Die fehlende DSFA als solche taucht dort nicht auf.
Das ist kein Freipass. Wer die DSFA aus Angst vor einer Busse macht, macht sie falsch: als dickes Dokument für den Aktenschrank, Hauptsache vorhanden. Der Wert liegt woanders. Nach einem Vorfall oder einer Beschwerde ist die DSFA dein Beleg, dass du das Risiko gesehen, bewertet und behandelt hast. Die Sorgfaltsfrage trifft Geschäftsführer im Datenschutz persönlich, wir haben das in unserem Beitrag zur nDSG-Haftung für Geschäftsführer auseinandergenommen. Bei dieser Frage mit leeren Händen dazustehen ist unangenehmer als jede Busse, die im Katalog fehlt.
Dazu kommt: Der EDÖB braucht keine Busse, um unangenehm zu werden. Er kann eine Datenbearbeitung untersuchen und Massnahmen verfügen, bis hin zur Anpassung oder zum Stopp der Bearbeitung. Ein Projekt, das nach dem Go-live gestoppt wird, kostet ein Vielfaches der Abschätzung, die es vorher entschärft hätte. Das ist das realistische Risiko, und es hat mit dem Bussenkatalog nichts zu tun.
Der Angstverkauf rund um das nDSG folgt demselben Muster wie im Security-Markt: Erst wird die Busse gross gemacht, dann das Produkt verkauft, das angeblich davor schützt. Ein Template schützt vor gar nichts. Es formatiert höchstens die Gedanken, die du dir selbst machen musst.
Wie viel Aufwand angemessen ist
Ein klarer Fall passt in unserer Erfahrung auf wenige Seiten: was bearbeitet wird, was für die Betroffenen schiefgehen kann, welche Massnahmen dagegen stehen, welches Restrisiko übrig bleibt und wer es akzeptiert hat. Dazu das Datum und wer dafür geradesteht. Mehr verlangt das Gesetz nicht.
Auch die Risikobewertung selbst braucht kein Matrix-Theater mit Farbcodes und Punktwerten. Zwei Fragen in klaren Worten reichen: Wie plausibel ist es, dass etwas schiefgeht, und wie schwer träfe es die Betroffenen? «Ein abgewiesener Bewerber erfährt nie, dass eine Maschine ihn aussortiert hat» ist eine präzisere Risikobeschreibung als jede orange Zelle in einer Heatmap. Wer das Risiko in einem verständlichen Satz formulieren kann, hat es verstanden. Wer nur eine Zahl einträgt, meistens nicht.
Bleibt nach den Massnahmen trotzdem ein hohes Risiko übrig, verlangt Art. 23 DSG die Konsultation des EDÖB. Der hat dafür zwei Monate Zeit, bei komplexen Bearbeitungen einen Monat länger. Für private Unternehmen gibt es eine unaufgeregte Abkürzung: Wer einen Datenschutzberater nach Art. 10 DSG benannt hat und ihn konsultiert, kann auf die Konsultation des EDÖB verzichten. Aus einem Behördenverfahren mit Wartefrist wird ein internes Gespräch. Für ein KMU mit heikleren Datenbearbeitungen ist das allein oft ein guter Grund, diese Rolle zu besetzen.
Die teuerste Variante ist die Übererfüllung. Das dicke Template kostet dich zweimal: beim Ausfüllen und danach bei jeder Systemänderung, nach der es niemand mehr aktualisiert. Eine DSFA, die nicht mehr zur Realität passt, ist Dekoration. Zwei präzise Seiten, die jemand pflegt, schlagen den dicken Ordner, den niemand liest.
Drei Fragen vor jedem neuen Projekt
Damit die Pflicht im Alltag funktioniert, gehört sie an den Projektstart und in den Einkaufsprozess. Im Jahresaudit ist sie zu spät.
Drei Fragen reichen für die Triage:
- Setzen wir eine Technologie ein, deren Verhalten wir selbst noch nicht sicher einschätzen können? KI-Auswertungen, Profiling und automatisierte Entscheide gehören hierher.
- Bearbeiten wir besonders schützenswerte Daten in nennenswertem Umfang? Also etwa Gesundheitsdaten, biometrische Daten oder Angaben zu Religion und politischen Ansichten.
- Beobachten wir Menschen systematisch? Video, Standort-Tracking, Auswertung von Arbeitsverhalten.
Dreimal Nein: Halte in zwei Sätzen fest, dass die Frage geprüft wurde und warum keine DSFA nötig ist, und arbeite weiter. Dieser Zweizeiler ist mehr wert, als er aussieht. Er zeigt später, dass die Frage gestellt wurde.
Mindestens ein Ja: Mach die DSFA, schlank und ehrlich. Beschreibung, Risiken, Massnahmen, Restrisiko. Wenn du dabei merkst, dass niemand im Haus so genau weiss, welche Personendaten überhaupt wo bearbeitet werden, hast du das eigentliche Problem gefunden. Dann fehlt die Übersicht, auf der jede Datenschutzarbeit aufbaut, und die DSFA ist ein guter Anlass, sie nachzuholen. Einen Überblick über die übrigen Pflichten gibt unser Beitrag zum nDSG.
Bevor das nächste Tool live geht
Die Datenschutz-Folgenabschätzung ist eine der wenigen Compliance-Pflichten, die bei richtiger Dosierung Nutzen abwirft. Sie zwingt einmal pro riskantem Projekt zu der Frage, die sonst niemand stellt: Was kann hier für die Betroffenen schiefgehen? Falsch dosiert wird sie zum Ritual, das Zeit frisst und nichts schützt.
Wenn du gerade ein Projekt auf dem Tisch hast und unsicher bist, ob es ein DSFA-Fall ist, sortieren wir das gerne mit dir in einem Erstgespräch. Ohne Template-Verkauf, und meistens reicht ein kurzes Gespräch.
Und unabhängig davon interessiert uns: Wann hat in deinem Betrieb zuletzt jemand vor einem Projektstart gefragt, was dabei für die Betroffenen schiefgehen könnte?
