Die meisten Geschäftsführer glauben, bei einem Datenschutzverstoss zahle am Ende die Firma. Das ist der teuerste Irrtum im revidierten Datenschutzgesetz.
Seit dem 1. September 2023 gilt in der Schweiz das nDSG, und es hat die Logik umgedreht. Die Busse landet nicht mehr beim Unternehmen, sie landet bei der verantwortlichen natürlichen Person. Bis zu 250'000 Franken, und du kannst sie nicht der Firma weiterreichen. Die nDSG-Haftung trifft dich als Geschäftsführer persönlich. Das steht so beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Strafbestimmungen).
Die übliche Reaktion auf diese Nachricht ist, ein grosses Compliance-Programm zu kaufen. Mehr Tools und ein externer Datenschutzberater auf Dauermandat. In unserer Erfahrung ist das die falsche Antwort auf die falsche Angst. Was das Gesetz wirklich bestraft, ist enger und billiger abzusichern, als die meisten denken.
Warum plötzlich du haftest, nicht die Firma
Im alten Datenschutzrecht war die Bussenhöhe symbolisch. 10'000 Franken, und in der Praxis passierte selten etwas. Für die meisten KMU war Datenschutz deshalb eine Fussnote.
Das nDSG hat zwei Dinge geändert. Erstens die Höhe: bis 250'000 Franken. Zweitens, und das ist der eigentliche Punkt, die Adressatin der Busse. Bestraft wird in erster Linie die natürliche Person, die für den Verstoss verantwortlich ist. Nicht ein anonymes Unternehmen, sondern ein Mensch mit Namen.
Wer ist dieser Mensch? Das entscheidet nicht der EDÖB, sondern die kantonale Staatsanwaltschaft im Einzelfall. Häufig ist es die Person, die den Entscheid getroffen oder die Pflicht bewusst ignoriert hat. In einem KMU ohne eigene Datenschutzfunktion ist das oft der Geschäftsführer selbst, weil bei ihm die Verantwortung zusammenläuft und niemand sonst sie formell trägt.
Es gibt eine Ausnahme, die viele beruhigt und die trotzdem nicht als Ausweg taugt. Wenn die Ermittlung der schuldigen Person einen unverhältnismässigen Aufwand bedeuten würde, kann statt der Person das Unternehmen gebüsst werden, dann aber nur bis 50'000 Franken. Das ist kein Schutzschild. Das ist der Notnagel für den Staatsanwalt, wenn er die Person nicht sauber zuordnen kann. Verlassen würde ich mich darauf nicht.
Der Punkt ist nicht, dass jetzt Panik angebracht wäre. Der Punkt ist, dass sich die Frage verschoben hat. Früher hiess sie: Was kostet das die Firma? Heute heisst sie: Wer in diesem Haus trägt den Namen, der am Ende auf der Verfügung steht?
GDPR bestraft die Firma, das nDSG bestraft den Menschen
Viele Schweizer Firmen haben ihre Datenschutz-Vorstellung von der europäischen DSGVO geerbt. Dort sind die Zahlen riesig, bis zu vier Prozent des weltweiten Umsatzes, und sie treffen das Unternehmen als Ganzes.
Die Schweiz macht es leiser und persönlicher. Kleinere Beträge, dafür direkt bei der verantwortlichen Person. Das verändert den Charakter der Strafe. Eine Firma verbucht eine Busse als Kostenposition. Ein Mensch, der privat 250'000 Franken zahlen soll, erlebt das anders. Genau das war die gesetzgeberische Absicht: Datenschutz soll Chefsache sein, nicht ein delegierbares Restrisiko.
Was wirklich strafbar ist, und was nicht
Hier lösen sich die meisten Ängste auf, wenn man genau hinschaut.
Strafbar ist nur Vorsatz. Wer eine Pflicht fahrlässig verletzt, weil er sie schlicht nicht kannte oder einen Fehler machte, begeht nach dem nDSG keine Straftat. Es geht ausschliesslich um bewusst begangene Handlungen. Das ist eine entscheidende Grenze, und sie verändert, worauf du deine Energie richten solltest.
Und die strafbaren Pflichten sind eine überschaubare Liste, kein unendlicher Katalog. Dazu gehören unter anderem:
- Die Informationspflicht, wenn du Personendaten beschaffst, und die Auskunftspflicht, wenn eine betroffene Person fragt, welche Daten du über sie hast.
- Bestimmte Pflichten bei der Bekanntgabe von Daten ins Ausland.
- Die Einhaltung eines Mindestmasses an Datensicherheit.
- Die berufliche Schweigepflicht über geheime Personendaten.
Das war es im Kern. Es steht nirgends, dass du ein perfektes, lückenloses Managementsystem brauchst, um straffrei zu bleiben. Es steht dort, dass du eine Handvoll klarer Pflichten nicht vorsätzlich verletzen darfst. Wenn du die Grundlagen des Gesetzes noch nicht sortiert hast, lohnt sich vorher unser Überblick zum revidierten Datenschutzgesetz.
Die falsche Reaktion: ein Programm gegen die Angst kaufen
Sobald das Wort persönliche Haftung fällt, verkauft sich alles leichter. Der Datenschutzberater, das Tool, das dreitägige Assessment, der 120-seitige Massnahmenkatalog. Angst ist ein hervorragender Verkäufer.
Nur schützt dich der dickste Ordner nicht vor der einen Sache, die tatsächlich strafbar ist: etwas bewusst zu ignorieren. Im Gegenteil. Ein aufgeblähtes Programm, das niemand lebt, erzeugt ein Papier, das dokumentiert, dass du von einem Problem wusstest. Das ist nicht dein Freund vor einem Staatsanwalt.
Wir sehen dasselbe Muster in der Sicherheit ständig. Firmen kaufen sich Werkzeuge, um ein Gefühl zu beruhigen, statt das konkrete Risiko zu adressieren. Beim Datenschutz ist das Risiko nicht Unvollständigkeit. Das Risiko ist Vorsatz. Und gegen Vorsatz hilft kein Budget, sondern eine Haltung und ein sauber geregelter Zuständigkeitsprozess. Wer verstehen will, warum mehr Werkzeuge selten mehr Schutz bedeuten, findet die längere Version in unserem Beitrag dazu, ein pragmatisches ISMS aufzubauen, ohne daran zu verzweifeln.
Was ein Geschäftsführer stattdessen tun sollte
Die gute Nachricht: Was wirklich hilft, ist kleiner und günstiger als das, was dir verkauft wird. Es geht nicht um Vollständigkeit, es geht um Verantwortung, die man benennen und belegen kann.
Weise die Verantwortung explizit zu und halte es fest. Wenn niemand offiziell zuständig ist, bist es im Zweifel du. Bestimme eine verantwortliche Person, gib ihr die nötige Kompetenz und dokumentiere das. Das ist der Unterschied zwischen "der Chef hat es bewusst laufen lassen" und "die Zuständigkeit war geregelt".
Wisse, welche Personendaten ihr überhaupt habt. Du kannst keine Pflicht erfüllen für Daten, von denen du nicht weisst, dass sie existieren. Ein einfaches Verzeichnis der Bearbeitungen reicht für die meisten KMU. Kein Werkzeug nötig, eine Tabelle genügt oft.
Stell sicher, dass ihr auf eine Auskunftsanfrage antworten könnt. Das ist die Pflicht, die im Alltag am ehesten auf dem Tisch landet, oft von einem verärgerten Ex-Mitarbeiter. Wer hier nicht reagiert, bewegt sich am schnellsten Richtung Vorsatz.
Halte ein vernünftiges Mindestmass an Datensicherheit. Kein Zero-Trust-Grossprojekt. Die üblichen Grundlagen, die du für die Cybersicherheit ohnehin brauchst.
Ignoriere kein gemeldetes Problem. Das ist die wichtigste Regel und die billigste. Wenn dir jemand ein Datenschutzthema meldet, dann ist Nichtstun der Moment, in dem aus einem Versehen ein Vorsatz wird. Reagieren muss nicht heissen, alles sofort zu lösen. Es heisst, es nicht bewusst liegenzulassen.
Diese fünf Punkte sind kein Compliance-Programm. Sie sind die Grundausstattung, mit der du aus der persönlichen Haftung herauskommst, ohne sechsstellig zu investieren.
Delegieren schützt dich, Wegschauen nicht
Ein verbreiteter Irrtum lautet, als Geschäftsführer hafte man automatisch für alles. So einfach ist es nicht. Weil nur Vorsatz strafbar ist, entscheidet die konkrete Rolle im Verstoss, wer belangt wird.
Wenn du die Verantwortung sauber an eine kompetente Person überträgst, ihr die nötigen Mittel und Kompetenzen gibst und selbst nicht bewusst eine Pflicht verletzt, sinkt deine persönliche Exposition. Nicht, weil du dich freikaufst, sondern weil der Vorsatz dann bei der Person liegt, die tatsächlich gehandelt oder etwas unterlassen hat. Delegation ist im nDSG kein Trick, sie ist der vorgesehene Weg.
Was dich zurück in die Haftung holt, ist das Gegenteil von Delegation: das bewusste Wegschauen. Wer eine gemeldete Lücke kennt, die Zuständigkeit aber nie geregelt hat, kann sich hinterher schlecht auf jemand anderen berufen. Genau deshalb sind die zwei billigsten Massnahmen, benannte Verantwortung und dokumentierte Reaktion, auch die wirksamsten.
Und das ist der Punkt, an dem Datenschutz und Kostendisziplin zusammenfallen. Die teure Variante ist, aus Angst ein Programm zu kaufen, das dich am Ende nicht schützt. Die günstige Variante ist, Verantwortung zu klären und eine Handvoll Pflichten ernst zu nehmen. Mehr Schutz für weniger Geld ist hier keine Marketingzeile, sondern schlicht, wie das Gesetz funktioniert.
Der Fall, den wir immer wieder sehen
In unserer Erfahrung beginnt der typische Ernstfall nicht mit einem Hackerangriff, sondern mit einer E-Mail. Eine Person verlangt Auskunft über ihre Daten, bekommt keine Antwort, hakt nach, wird ignoriert und wendet sich an den EDÖB.
Bis zu diesem Punkt war fast nichts passiert. Kein Datenverlust, kein Leak. Nur eine unbeantwortete Anfrage, die zu lange auf einem Schreibtisch lag. Genau dieses Liegenlassen ist es, das eine harmlose Situation in die Nähe von Vorsatz rückt. Der Schaden entsteht selten durch das ursprüngliche Versäumnis. Er entsteht durch das bewusste Wegschauen danach.
Dieselbe Mechanik kennst du aus der Führungsverantwortung bei Cyber-Themen. Wir haben sie im Detail beschrieben, als es um die Haftung im Verwaltungsrat ging. Die Rechtsgrundlage ist anders, das Muster ist dasselbe: Verantwortung, die niemand aktiv trägt, fällt am Ende auf die Person an der Spitze zurück.
Wenn du wissen willst, wo dein Unternehmen bei diesen wenigen Pflichten wirklich steht, statt in einem generischen Fragebogen zu ertrinken, schauen wir uns das in einem unverbindlichen Erstgespräch gemeinsam an. Meist ist die Lage nüchterner, als die Angst vermuten lässt, und die Lücken sind konkret und schliessbar. Mehr dazu auch auf unserer Seite zu Compliance.
Die ehrliche Frage
Stell dir vor, morgen kommt eine Auskunftsanfrage rein, und in sechs Monaten landet sie beim Staatsanwalt. Die Frage ist nicht: Hatten wir das perfekte Datenschutzprogramm?
Die Frage ist: Konnten wir zeigen, wer zuständig war, und dass wir das Thema nicht bewusst ignoriert haben?
Deine Antwort darauf kostet dich kein sechsstelliges Budget. Sie kostet dich eine klare Zuständigkeit und die Disziplin, kein gemeldetes Problem liegenzulassen. Das ist die ganze nDSG-Haftung für Geschäftsführer, auf das Wesentliche eingedampft.
