Pflichten

Privacy by Design & Privacy by Default: Praktische Umsetzung für KMU

Rédaction ComplianceCore··6 min de lecture

Art. 7 des revDSG verpflichtet Schweizer Unternehmen, Datenschutz bereits beim Entwurf neuer Systeme und Prozesse zu berücksichtigen (Privacy by Design) und Standardeinstellungen so zu wählen, dass sie automatisch das höchste Datenschutzniveau bieten (Privacy by Default). Beide Prinzipien gelten seit dem 1. September 2023 — und betreffen nicht nur Softwareentwickler, sondern jedes KMU, das neue Tools einführt oder Prozesse gestaltet.

Art. 7

Rechtsgrundlage im revDSG

1.9.2023

In Kraft getreten

2

Kernprinzipien: Design + Default

Rechtliche Einordnung

Rechtsgrundlage: Art. 7 DSG (Revisionsfassung), entspricht Art. 25 DSGVO. In Kraft: 1. September 2023 — ohne Übergangsfrist. Gilt für: Alle Verantwortlichen im Sinne des DSG — also praktisch jedes Unternehmen, das Personendaten bearbeitet.

ℹ️

Wichtig: Das revDSG sieht keine direkten Sanktionen spezifisch für Verstösse gegen Art. 7 vor. Dennoch sind Verletzungen relevant: Sie können Hinweise auf Verstösse gegen die Datensicherheitspflichten nach Art. 8 DSG begründen, die ihrerseits strafbewehrt sind (bis CHF 250'000 gegenüber der verantwortlichen Privatperson).

Was bedeutet Privacy by Design?

Privacy by Design bedeutet: Datenschutz wird nicht nachträglich «eingebaut», sondern ist von Anfang an Teil der Konzeption. Wenn ein Unternehmen ein neues HR-Tool einführt, einen Webshop aufbaut oder einen Marketingprozess gestaltet, müssen Datenschutzüberlegungen bereits in der Planungsphase einfliessen — nicht erst, wenn der Datenschutzbeauftragte fragt.

Die 7 Grundprinzipien (Privacy by Design nach Cavoukian)

1

Proaktiv, nicht reaktiv

Probleme verhindern, bevor sie entstehen — nicht erst reagieren, wenn etwas schiefläuft.

2

Datenschutz als Standard

Keine Nutzeraktion nötig, um Datenschutz zu erhalten. Die sicherste Einstellung ist die Voreinstellung.

3

Integriert ins Design

Datenschutz ist Bestandteil der Architektur — nicht nachträglich angebaut oder aufgepfropft.

4

Volle Funktionalität

Kein Entweder-oder zwischen Datenschutz und Funktionalität. Beides ist gleichzeitig erreichbar.

5

End-to-End-Sicherheit

Schutz über den gesamten Datenlebenszyklus — von der Erhebung bis zur Löschung.

6

Sichtbarkeit und Transparenz

Prozesse und Systeme müssen für Betroffene und Aufsichtsbehörden nachvollziehbar und überprüfbar sein.

7

Respekt für den Nutzer

Nutzerinteressen im Zentrum: Datenminimierung, Zweckbindung, präzise und verständliche Information.

Was bedeutet Privacy by Default?

Privacy by Default ist die praktische Umsetzung von Prinzip Nr. 2: Die strengsten Datenschutzeinstellungen sind immer die Voreinstellung — ohne dass der Nutzer aktiv werden muss.

Vorher / Nachher — Vergleich

Situation❌ Falsch (kein Privacy by Default)✅ Richtig (Privacy by Default)
Newsletter-AnmeldungCheckbox vorangekreuztCheckbox leer, aktive Zustimmung nötig
BenutzerprofileProfil standardmässig öffentlichProfil standardmässig privat
Website-TrackingGoogle Analytics vollständig aktivNur essenzielles Tracking ohne Einwilligung
App-BerechtigungenKamera, Mikrofon, Standort beim StartNur bei tatsächlicher Nutzung der Funktion
CRM-ZugriffAlle sehen alle KundendatenZugriff nur auf für die eigene Aufgabe relevante Daten

Praxisbeispiele aus dem Schweizer KMU-Alltag

Beispiel 1 — Treuhandbüro: Einführung einer neuen Buchhaltungssoftware

Das Büro wechselt zu einem Cloud-Buchhaltungstool. Datenschutzkonformes Vorgehen nach Art. 7 DSG:

  1. Vor dem Kauf: AVV-Angebot des Anbieters prüfen. Serverstandort Europa? Löschkonzept vorhanden?
  2. Bei der Einrichtung: Benutzerrollen so einrichten, dass jede Mitarbeiterin nur auf für sie relevante Mandanten zugreifen kann.
  3. Laufend: Automatische Archivierung inaktiver Mandanten nach gesetzlicher Aufbewahrungsfrist.

Beispiel 2 — Onlineshop: Integration eines Live-Chats

Ein Schweizer Onlineshop integriert ein Chat-Tool. Privacy by Default bedeutet:

  1. Der Chat startet ohne sofortiges Tracking der Besucherbewegungen.
  2. Chatprotokolle werden nach 90 Tagen automatisch gelöscht (sofern kein laufendes Kundenverhältnis).
  3. Der Nutzer muss keine Angaben machen, bevor er eine Frage stellen kann.

Beispiel 3 — Produktionsbetrieb: Einführung einer HR-Software (80 Mitarbeitende)

  1. Zugriff: HR-Leitung sieht alle Daten; Abteilungsleiter sehen Abwesenheiten, keine Lohndaten; Mitarbeitende nur eigene Daten.
  2. Aufbewahrung: Bewerbungsunterlagen abgelehnter Kandidaten werden nach 6 Monaten automatisch gelöscht.
  3. Datenminimierung: Geburtsort wird nicht erfasst — kein legitimer Zweck für die Lohnabrechnung.

Checkliste: Privacy by Design & Default für neue Projekte und Tools

1

Datenbestand erfassen

Welche Personendaten werden erhoben, bearbeitet, gespeichert? Sind alle erhobenen Daten für den Zweck tatsächlich notwendig (Datenminimierung)?

2

Infrastruktur prüfen

Wo werden Daten gespeichert? Serverstandort bekannt? Gibt es einen Auftragsbearbeitungsvertrag (AVV) mit dem Anbieter? Sind Aufbewahrungsfristen definiert?

3

Konfiguration nach Minimalprinzip

Benutzerrollen mit Minimalprinzip einrichten. Checkboxen und Einwilligungen standardmässig nicht angekreuzt. Profil- und Sichtbarkeitseinstellungen auf privat voreingestellt. Tracking nur mit expliziter Zustimmung aktiv.

4

Laufende Pflege

Automatische Löschung inaktiver Datensätze konfigurieren. Zugriffsrechte nach Mitarbeiterwechseln überprüfen. Datenschutzerklärung aktualisieren und VVT-Eintrag für das neue System erstellen.

Häufige Fragen

Gilt Privacy by Design auch für Systeme, die schon vor dem revDSG eingeführt wurden?+
Das revDSG sieht keine explizite Übergangspflicht für Altsysteme vor. Dennoch empfiehlt der EDÖB, bestehende Systeme im Rahmen von Updates und Wartungsarbeiten auf Datenschutzprinzipien hin zu überprüfen. Bei einem grundlegenden Umbau oder Systemwechsel gilt Privacy by Design vollumfänglich.
Muss ich für jede neue Software eine Datenschutz-Folgenabschätzung (DSFA) durchführen?+
Nicht automatisch. Eine DSFA nach Art. 22 DSG ist nur bei Verarbeitungen erforderlich, die voraussichtlich ein hohes Risiko darstellen (z.B. Überwachungssysteme, Profiling im grossen Massstab). Für eine Standard-Buchhaltungssoftware in einem KMU braucht es in der Regel keine DSFA — wohl aber eine Privacy-by-Design-Prüfung.
Was ist der Unterschied zwischen Privacy by Design und der Datensicherheitspflicht?+
Privacy by Design (Art. 7 DSG) ist ein Gestaltungsprinzip für die Konzeptionsphase. Datensicherheit (Art. 8 DSG, Art. 1–3 DSV) ist eine technische und organisatorische Betriebspflicht: Verschlüsselung, Zugangskontrolle, Logging, Backups. Beides zusammen bildet das Fundament einer datenschutzkonformen IT-Infrastruktur.
Brauche ich einen Datenschutzberater, um Privacy by Design umzusetzen?+
Nein. Die Bestellung eines Datenschutzberaters ist in der Schweiz freiwillig (Art. 10 DSG). Privacy by Design ist eine gesetzliche Pflicht, die unabhängig davon gilt. Für KMU ohne eigenen DPO empfiehlt sich ein strukturiertes Tool, das Privacy-Checks bei der Einführung neuer Systeme unterstützt.
Was passiert, wenn ich Privacy by Design nicht einhalte?+
Direkte Sanktionen für Privacy by Design-Verstösse gibt es im revDSG nicht. Indirekt können Verstösse gegen Datensicherheit, die auf fehlende Privacy-by-Design-Überlegungen zurückgehen, zu Bussen bis CHF 250'000 gegen die verantwortliche Privatperson führen.

Privacy by Design strukturiert umsetzen

ComplianceCore erfasst Ihre Tools im VVT mit Serverstandort, AVV-Status und Aufbewahrungsfristen — alles an einem Ort, automatisch als Audit-Trail dokumentiert.

Jetzt Beta-Zugang sichern →

Ces informations sont fournies à titre informatif et ne constituent pas un conseil juridique.

Articles connexes

Pflichten

Verzeichnis der Bearbeitungstätigkeiten (VVT): Pflicht oder freiwillig für Schweizer KMU?

Lire l'article →
Pflichten

Datenschutzerklärung nach revDSG: Was muss rein und wie erstelle ich sie?

Lire l'article →
Risiko

Bussen und persönliche Haftung unter dem revDSG: Was Geschäftsführer wissen müssen

Lire l'article →