Kundenadressen, Telefonnummern, Fotos aus Kundenwohnungen, Lohndaten der Mitarbeitenden: Auch ein kleiner Handwerksbetrieb bearbeitet täglich Personendaten. Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Viele Betriebe fragen sich, was sie konkret tun müssen. Die gute Nachricht: Mit ein paar klaren Massnahmen sind die wichtigsten Punkte erledigt.
Hinweis: Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.
Gilt das revDSG auch für meinen Betrieb?
Ja. Das Datenschutzgesetz gilt für alle privaten Personen und Unternehmen, die Personendaten bearbeiten, unabhängig von ihrer Grösse. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu gehören Name, Adresse und Telefonnummer eines Kunden, aber auch ein Foto, auf dem ein Klingelschild zu sehen ist, oder die Notiz «Frau Meier ist ab Mai im Spital».
Daten von Firmen als solche sind seit der Revision nicht mehr geschützt, wohl aber die Daten der Ansprechpersonen in diesen Firmen.
Die Grundsätze in einfachen Worten
- Rechtmässig und transparent: Personen sollen wissen, dass und wofür Sie ihre Daten bearbeiten.
- Zweckgebunden: Daten, die Sie für einen Auftrag erhalten, verwenden Sie nicht ungefragt für etwas ganz anderes.
- Verhältnismässig: Sie bearbeiten nur so viele Daten, wie Sie wirklich brauchen, und löschen sie, wenn sie nicht mehr nötig sind und keine Aufbewahrungspflicht besteht.
- Richtig: Falsche Daten werden berichtigt.
- Sicher: Daten sind vor Verlust und unbefugtem Zugriff geschützt.
Die wichtigsten Pflichten
Informationspflicht und Datenschutzerklärung
Wenn Sie Personendaten beschaffen, müssen Sie die betroffenen Personen angemessen informieren: wer verantwortlich ist, wofür die Daten bearbeitet werden und an wen sie allenfalls weitergegeben werden. In der Praxis geschieht das mit einer Datenschutzerklärung auf der Website, auf die Sie auch in Offertunterlagen oder E-Mail-Signaturen verweisen können. Werden Daten ins Ausland übermittelt, etwa an einen Cloud-Anbieter in den USA, gehört auch das in die Erklärung.
Auftragsbearbeitung
Lassen Sie Daten durch Dritte bearbeiten, zum Beispiel durch einen Cloud-Anbieter, eine Buchhaltungssoftware oder einen externen Büroservice, sind Sie weiterhin verantwortlich. Sie müssen sicherstellen, dass der Dienstleister die Daten nur so bearbeitet, wie Sie es selbst dürften, und dass er die Datensicherheit gewährleistet. Das regelt man in einem Auftragsverarbeitungsvertrag.
Bekanntgabe ins Ausland
Daten dürfen ins Ausland gehen, wenn der Bundesrat dem Land einen angemessenen Datenschutz bescheinigt hat, etwa den EU-Staaten. In anderen Fällen braucht es zusätzliche Garantien, zum Beispiel Standardvertragsklauseln. Grosse Anbieter haben diese meist bereits in ihren Verträgen.
Verzeichnis der Bearbeitungstätigkeiten
Unternehmen mit weniger als 250 Mitarbeitenden sind von der Pflicht zum Bearbeitungsverzeichnis grundsätzlich befreit, solange sie keine besonders schützenswerten Personendaten in grossem Umfang bearbeiten und kein Profiling mit hohem Risiko betreiben. Für die meisten Handwerksbetriebe trifft die Befreiung zu. Eine einfache Übersicht, welche Daten wo liegen, ist trotzdem hilfreich.
Meldung von Datensicherheitsverletzungen
Geht etwas schief, zum Beispiel ein gestohlener Laptop mit Kundendaten oder ein gehacktes Mailkonto, und besteht voraussichtlich ein hohes Risiko für die betroffenen Personen, muss der Vorfall so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden. Der EDÖB stellt dafür ein Online-Formular zur Verfügung.
Datenschutz im Alltag
Die meisten Risiken im Handwerksbetrieb sind ganz praktischer Natur:
- Fotos von der Baustelle: Baustellenfotos sind wertvoll für Rapporte und Garantiefälle. Achten Sie darauf, dass keine Personen, Namen oder privaten Gegenstände unnötig darauf sind, und posten Sie Fotos aus Kundenwohnungen nur mit Einverständnis in sozialen Medien.
- Private Messenger: Kundenadressen und Fotos in privaten Chats auf den Handys der Mitarbeitenden sind schwer zu kontrollieren. Ein geschäftlicher Kanal mit klaren Regeln ist besser.
- Passwörter: Ein gemeinsames Passwort für alle auf einem Zettel im Büro ist ein Klassiker. Ein Passwortmanager und eine Zwei-Faktor-Anmeldung für E-Mail und Buchhaltung schützen deutlich besser.
- Mitarbeiterdaten: Lohnausweise, Arztzeugnisse und Personaldossiers gehören zu den sensibelsten Daten im Betrieb. Sie sollten nur für berechtigte Personen zugänglich sein.
- Website: Kontaktformular, Schriftarten von Drittanbietern und Analysetools übertragen Daten. All das gehört in die Datenschutzerklärung.
Datenschutz im Handwerk heisst vor allem: wissen, wo die Kundendaten liegen, und nicht jeden darauf zugreifen lassen.
Was droht bei Verstössen?
Das revDSG sieht Bussen von bis zu CHF 250'000 vor. Anders als in der EU richten sie sich nicht in erster Linie gegen das Unternehmen, sondern gegen die verantwortliche Person, und sie setzen ein vorsätzliches Handeln voraus. Bestraft werden etwa die Verletzung von Informations- und Auskunftspflichten oder von Sorgfaltspflichten bei der Auftragsbearbeitung. Wer seine Pflichten kennt und umsetzt, hat wenig zu befürchten. Der grössere Schaden bei einem Datenleck ist meist ohnehin der Vertrauensverlust bei den Kunden.
Checkliste für Handwerksbetriebe
- Datenschutzerklärung auf der Website, aktuell und vollständig
- Übersicht, welche Daten in welchen Programmen liegen
- Auftragsverarbeitungsverträge mit Cloud-Anbietern und Dienstleistern
- Zwei-Faktor-Anmeldung für E-Mail, Buchhaltung und Cloud
- Passwortmanager statt Zettel und Browser-Speicher
- Klare Regeln für Fotos und Messenger im Team
- Personaldaten nur für Berechtigte zugänglich
- Ablauf für den Ernstfall: Wer meldet was an wen?
Quellen und weiterführende Links
- Bundesgesetz über den Datenschutz (DSG)
- EDÖB: Meldung von Datensicherheitsverletzungen
- Netzwoche: EDÖB veröffentlicht Leitfaden zu Data Breaches
Dieser Artikel ersetzt keine Rechts- oder Treuhandberatung. Stand: Oktober 2026.
Diese Arbeit nehmen wir Ihnen gerne ab
So schützt Digi-Office Ihre Daten. Im kostenlosen Erstgespräch von 30 Minuten schauen wir, was in Ihrem Betrieb passt.