Neues DSG: Nachweise öffnen den Markt

Der Vertrag schien geschlossen. Das Produkt entsprach dem Bedarf, der Preis wurde akzeptiert und das Verkaufsteam wusste, was als nächstes zu tun war. Dann kam der Fragebogen des Kunden: Welche personenbezogenen Daten werden in welchen Ländern von welchen Subunternehmern wie lange verarbeitet und wer entscheidet im Falle eines Verstosses? Die Datenschutzerklärung existierte. Die Antworten waren verstreut zwischen dem Unternehmen, der IT, dem Cloud-Anbieter und dem Management. Seit dem 1. September 2023 verpflichtet uns das neue Schweizer Datenschutzgesetz, genau auf diesen konkreten Vorgang zu achten. Aber das Problem hört nicht bei der Compliance auf. Für einen B2B-Dienstleister kann die Möglichkeit, eindeutige Nachweise zu sammeln, auch einen Käufer beruhigen, die Referenzierung beschleunigen oder einen anspruchsvolleren Markt zugänglich machen. Diese Marktanalyse folgt einem konkreten Fall – einer Verarbeitung von Kundendaten – von der Zuordnung bis zur Entscheidung. Anschliessend wird gezeigt, wie getfishnet eine Akquisitionsstrategie auf der Grundlage von Vertrauen bewerten würde, ohne eine rechtliche Verpflichtung in ein Verkaufsversprechen umzuwandeln.

Die neue Schweizer BVG verlangt vom Unternehmen, dass es seine Datenverarbeitung erklären, Verantwortlichkeiten zuweisen und die getroffenen Massnahmen nachweisen kann. Es handelt sich weder um eine Vertraulichkeitsrichtlinie noch um ein am Tag ihres Inkrafttretens abgeschlossenes Projekt.

Das Parlament hat das völlig revidierte Gesetz am 25. September 2020 verabschiedet. Das neue Gesetz ist mit seinen Ausführungsverordnungen am 1. September 2023 in Kraft getreten. Das Bundesamt für Justiz stellt diese Reform als eine Anpassung des Datenschutzes an digitale Nutzungen und wachsende grenzüberschreitende Ströme dar.

Drei Jahre später ist das Datum noch immer ein Massstab, beschreibt aber nicht den Zustand eines Unternehmens. Eine neue Kundenbeziehungssoftware, ein neues Arbeitgeberportal, ein Cloud-Anbieter, ein Kundengewinnungssystem oder eine Funktionalität für künstliche Intelligenz können die gesammelten Daten, ihre Empfänger und die Risiken verändern. Die sinnvolle Frage lautet daher nicht mehr: "Haben wir uns auf September 2023 vorbereitet?" ", aber "können wir die Behandlung erklären, die heute funktioniert?".

Die EDÖB erinnert insbesondere an die Informationspflichten, das Auskunftsrecht, den Schutz von Daten durch technische und datenschutzrechtliche Voreinstellungen sowie die Bekanntgabe bestimmter Verstösse. Nicht alle dieser Verpflichtungen gelten in jeder Situation gleichermassen. Sie liefern vielmehr die Kontrollpunkte, um eine Verknüpfung mit den Fakten herzustellen: Zweck, Daten, betroffene Personen, Systeme, Lieferanten, Länder, Dauer, Risiken und Entscheidung.

Die zuerst abzubildende Behandlung ist diejenige, die eine tatsächliche Veränderung, eine bevorstehende Entscheidung und ein Risiko kombiniert, das bedeutend genug ist, um das Unternehmen zu mobilisieren. Wenn Sie mit einem präzisen Ablauf beginnen, wird eine abstrakte Bestandsaufnahme vermieden, die zu keinerlei Massnahmen oder verwertbaren Beweisen führt.

Nehmen wir ein einfaches Beispiel: Ein Dienstleistungsunternehmen möchte sein kaufmännisches Management-Tool ersetzen. Das zukünftige System wird die Kontaktdaten potenzieller Interessenten, den Austauschverlauf, Qualifikationsergebnisse und möglicherweise Daten von Partnern empfangen. Ein Teil des Hostings und Supports wird an externe Anbieter ausgelagert. Das Projekt verfügt über ein Budget, einen Entscheidungstermin und identifizierbare Leiter: Es stellt einen besseren Ausgangspunkt dar als eine allgemeine Überprüfung aller Dokumente.

So ist das Diagramm zu lesen. Daten gehören nicht nur deshalb zur IT, weil sie in Software enthalten sind. Der Beruf definiert den Einsatz, die Technik steuert einen Teil des Betriebs, die Dienstleister führen betreute Aufgaben aus und die Geschäftsführung übernimmt die Entscheidungen, die über ein Team hinausgehen.

Die Zuordnung folgt dem Datenpfad, nicht dem Flussdiagramm. Sie beginnt, wenn Informationen in das Gerät gelangen, und endet, wenn sie gelöscht, wiederhergestellt oder anonymisiert werden. In jeder Phase wird die Aktion mit einer verantwortlichen Person und zugänglichen Beweisen verknüpft.

Die EDÖB legt in ihren Informationen zum Cloud Computing fest, dass der Kunde für die Einhaltung verantwortlich bleibt, wenn er die Verarbeitung einem Cloud-Anbieter anvertraut. Es muss insbesondere die Bedingungen für die Vergabe von Unteraufträgen, die Kommunikation im Ausland, die Sicherheit, die Unterauftragnehmer und die Unterstützung im Falle einer Anfrage oder eines Vorfalls prüfen. Der Vertrag ist daher Teil der Kartographie und kein Ersatz dafür.

Die Daten und Verantwortlichkeiten, die das Mapping verbinden muss, umfassen Zweck, Systeme, Empfänger, Dauer, Sicherheit und wer entscheidet. Eine Liste von Anträgen bleibt unzureichend, wenn sie uns nicht ermöglicht zu wissen, warum die Verarbeitung vorliegt und wer sie ändern kann.

Eine umsetzbare Dossier beantwortet sieben Fragen. Jeder bereitet eine konkrete Entscheidung statt einer dokumentarischen Ansammlung vor.

Diese Zuordnung zeigt häufig einen Unterschied zwischen dem, was das Unternehmen zu tun glaubt, und dem, was das System tatsächlich zulässt. Eine Aufbewahrungsfrist kann ohne Konfiguration geschrieben werden. Ein Lieferant kann bekannt sein, ohne dass seine eigenen Unterlieferanten bekannt sind. Ein Manager kann ernannt werden, ohne die Befugnis zu haben, die Verarbeitung zu stoppen.

Der erwartete Nachweis ist nicht unbedingt ein langer Bericht. Je nach Fragestellung kann es sich hierbei um einen Vertrag, eine Einstellung, ein Protokoll, eine datierte Entscheidung oder einen Test handeln. Sein Wert ergibt sich aus der Beziehung zwischen der beobachteten Tatsache, dem Eigentümer der Entscheidung und der nächsten Aktion.

Protection by Design verändert das digitale Projekt durch die Integration von Minimierung, Zugriff, Aufbewahrung und Sicherheit vor dem Start. Standardeinstellungen sollten die Verarbeitung auf das für den angegebenen Zweck erforderliche Mass beschränken.

Artikel 7 DSG stellt den Datenschutz somit in die Gestaltung des Dienstes. Das EDÖB verdeutlicht dies am Beispiel der Cloud: Sind die Risiken mit dem Standardservice nicht beherrschbar, muss das Unternehmen nach geeigneten Massnahmen suchen, eine andere Lösung wählen oder auf das entsprechende Outsourcing verzichten.

In unserem Vertriebsmanagement-Beispiel führt dieser Ansatz zu sehr konkreten Fragestellungen. Sind alle kostenlosen Notizen notwendig? Sollte ein Verkäufer Dossiers aus einer anderen Region sehen? Sollten Kontakte ohne Aktivität auf unbestimmte Zeit erreichbar bleiben? Kann ein vollständiger Export ohne Benachrichtigung heruntergeladen werden? Was passiert mit dem Konto eines Mitarbeiters, der das Unternehmen verlässt?

Das Projekt erhält dann eine Entscheidungsreihenfolge: unnötige Daten entfernen, Zugriff beschränken, Dauer festlegen, Lieferanten dokumentieren, sensible Vorgänge testen und die Reaktion auf einen Vorfall vorbereiten. Konformität wird sichtbar, weil sie das Produkt und seine Funktionsweise verändert.

Ein Register oder eine Auswirkungsanalyse wird erforderlich, wenn die in der DSG vorgesehenen Bedingungen erfüllt sind; Ihr betrieblicher Nutzen beginnt jedoch bereits vor der gesetzlichen Schwelle, sobald ein wichtiger Verarbeitungsvorgang nicht mehr zuverlässig erklärt, dokumentiert oder geschlichtet werden kann.

Das Verzeichnis der Verarbeitungstätigkeiten regelt insbesondere die Zwecke, Personen- und Datenkategorien, Empfänger, Dauer und Sicherheitsmassnahmen. Die für bestimmte Privatunternehmen vorgesehenen Ausnahmen verhindern die Einführung einer allgemeinen Verpflichtung ohne Prüfung des Einzelfalls. Aber auch wenn eine Ausnahmeregelung gelten kann, bleibt die verhältnismässige Zuordnung für die Verwaltung eines Projekts, die Beantwortung eines Kunden oder die Bearbeitung einer Zugriffsanfrage nützlich.

Die Datenschutz-Folgenabschätzung findet dann statt, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte mit sich bringt. Es geht darum, das Projekt zu beschreiben, das Risiko einzuschätzen und die Massnahmen zu prüfen. Das EDÖB weist ausserdem darauf hin, dass die Ernennung eines Datenschutzberaters für private Unternehmen optional ist und bestimmte Bedingungen erfüllt, wenn sie von den Möglichkeiten der Folgenabschätzung profitieren möchten.

Die Unterscheidung ist kommerziell von Bedeutung. Ein Dienstleister sollte nicht automatisch umfangreiche Analysen basierend auf einem Schlüsselwort verkaufen. Es muss zunächst die Behandlung, den Grad des Risikos, die bereits verfügbaren Arbeiten und die erwartete Entscheidung erkennen. Eine kurze Leistung kann manchmal zu dem Schluss kommen, dass ein tiefer gelegener Standort erforderlich ist; Dadurch kann auch eine unverhältnismässige Prüfung vermieden werden.

Der Datenverantwortliche entscheidet nach einer Datenschutzverletzung auf der Grundlage technischer Fakten, des Kontexts der betroffenen Personen und einer Risikobewertung. Der Subunternehmer hat ihn unverzüglich zu informieren und die verfügbaren Elemente zur Verfügung zu stellen; es ersetzt nicht seine Entscheidung.

Gemäss Artikel 24 DSG muss ein Verstoss, der voraussichtlich eine hohe Gefährdung der Persönlichkeit oder der Grundrechte zur Folge hat, dem EDÖB schnellstmöglich gemeldet werden. Die betroffenen Personen müssen auch dann informiert werden, wenn dies zu ihrem Schutz erforderlich ist. Der am 23. April 2025 veröffentlichte PFPDT-Leitfaden unterscheidet präzise zwischen dem hohen Risiko, das die Meldung auslöst, und dem Schutzbedürfnis, das eine Aufklärung rechtfertigen kann.

So ist das Diagramm zu lesen. Geschwindigkeit rechtfertigt keine Entscheidung ohne Fakten. Das technische Team dokumentiert, was passiert ist; der Beruf erklärt die Verwendung von Daten; die zuständige Funktion bereitet die Bewertung vor; Der Verantwortliche behält die Entscheidung und ihre Begründung.

Der 33. Tätigkeitsbericht 2025/2026 des EDÖB berichtet über mehr als 2.000 Meldungen potenzieller Datenschutzverstösse, 156 Interventionen bei Führungskräften, 22 Vorprüfungen und 9 Ermittlungen im Berichtsjahr. Diese Kategorien bilden keinen Verkaufstrichter und messen nicht die Gesamtzahl der Vorfälle in der Schweiz. Dennoch zeigen sie, dass der Rahmen nun eine konkrete Überwachungspraxis hervorbringt.

Die Behandlungspriorisierung kombiniert potenzielle Auswirkungen und Evidenzlücken. Eine wichtige, aber gut kontrollierte Behandlung erfordert nicht die gleiche Dringlichkeit wie ein sensibler, schlecht dokumentierter Ablauf im Zusammenhang mit einer bevorstehenden Entscheidung. Es wird verwendet, um den nächsten Versuch zu wählen, und nicht, um allein ein Rechtsurteil zu fällen.

Die folgende Matrix kann während eines ersten Workshops verwendet werden. Seine Platzierung ist indikativ: Jede Organisation muss ihre eigenen Kriterien begründen und kann aus der Position eines Punktes keine rechtliche Qualifikation ableiten.

Um eine Behandlung zu platzieren, berücksichtigt das Team mindestens Sensibilität, Umfang, betroffene Personen, Anzahl der Empfänger, Auslandskommunikation, betriebliche Abhängigkeit, drohende Änderung und Qualität der Nachweise. Die Bewertung ersetzt nicht das Urteil. Es ermöglicht eine explizite Schlichtung und den Vergleich von Dossiers auf derselben Grundlage.

Die Matrix verrät auch das richtige Interventionsformat. Für den Bereich "Jetzt verarbeiten" sind ein Eigentümer, eine Frist und eine Entscheidung erforderlich. Der Bereich "Beweisberichtigung" kann begrenzte dokumentarische oder technische Arbeiten umfassen. Der Bereich "Prüfen und Überwachen" erfordert eine gezielte Prüfung. Die Zone "einfach warten" rechtfertigt keinen schweren Einsatz.

LPD-Nachweise können den Zugang zu einem neuen Markt erleichtern, wenn ein Käufer, Partner oder Auftraggeber die Zuverlässigkeit eines Lieferanten beurteilen muss, bevor er ihm Daten anvertraut. Sie verringern die dokumentierbare Unsicherheit, garantieren jedoch niemals eine Referenzierung oder einen Verkauf.

In einer B2B-Beziehung muss Vertrauen oft in überprüfbare Dokumente übersetzt werden: Flussdiagramm, Lieferantenliste, Sicherheitsmassnahmen, Aufbewahrungsregel, Vorfallverfahren, Rollen und Antworten auf Anfragen. Das Gesetz verspricht dem Unternehmen keinen Vertrag, der diese Elemente zusammenführt. Andererseits kann das Ausbleiben einer Antwort die Bewertung verlängern, zusätzliche Anfragen provozieren oder eine positive Entscheidung unmöglich machen.

Das Bundesamt für Cybersicherheit betont in seinem Jahresbericht 2025 die Bedeutung sicherer Lieferketten. Diese Beobachtung betrifft die Cybersicherheit im weitesten Sinne; es macht keinen LPD-Nachweis zu einer Kaufvoraussetzung. Es bestätigt jedoch den Vertrauenswandel: Ein Lieferant wird nicht mehr nur nach seinem Produkt bewertet, sondern auch nach den damit verbundenen Abhängigkeiten und Risiken.

Ab diesem Punkt der Lesung erfolgt der Vergleich mit die Ankündigung von Cyberangriffen auf kritische Infrastrukturen wird nützlich. Die beiden Subjekte verteilen die Fakten auf Technik, Beruf und Management, reagieren aber nicht auf denselben Auslöser oder dieselbe Autorität.

getfishnet baut eine Akquisition auf der Grundlage von Vertrauen auf, basierend auf den Zielmärkten, den tatsächlich angeforderten Beweisen und der Fähigkeit des Partners, ein nützliches erstes Ergebnis zu liefern. Die Strategie müsste noch getestet werden; es würde weder als durchgeführter Feldzug noch als erworbenes Ergebnis dargestellt werden.

Der erste Schritt würde einen bestimmten kommerziellen Zeitpunkt identifizieren: Ausschreibung, Referenzierung eines Lieferanten, Eintritt in einen regulierten Sektor oder Anfrage für einen Grossauftrag. Eine Anleihe ohne Käufer, ohne Laufzeit und ohne lieferbares Angebot stellt noch keine Erwerbsmöglichkeit dar.

In der zweiten Stufe würden drei Angebotsebenen unterschieden: kurze Diagnose der Blockade, Umsetzung vorrangiger Nachweise, dann Nachverfolgung nur dann, wenn neue Projekte oder Lieferanten regelmässig Entscheidungen treffen. Wiederholungen werden niemals hinzugefügt, um das Geschäftsmodell zu verschönern.

Der dritte Schritt wäre die Auseinandersetzung vor Ort mit einem Partner, der in der Lage ist, schnell Umfang, Frist, Ausschlüsse und verfügbare Kapazitäten festzulegen. Ohne diese Reaktionsfähigkeit kann das erzeugte Interesse das Erlebnis potenzieller Kunden beeinträchtigen.

Welche Kanäle getestet werden sollen, hängt davon ab, wann die Nachweise entscheidend werden: Online-Suche, Kundenakquise, Telefon, E-Mail, berufliche Netzwerke, Partner, Veranstaltungen und Inhalte können komplementäre Rollen spielen. Kein Kanal wird aus Gewohnheit beibehalten oder allein aufgrund der Kontaktmenge bewertet.

Bei der Suche kann es zu einer bereits gestellten Anfrage kommen. Durch gezielte Akquise werden Lieferanten erreicht, die anspruchsvolle Kunden ansprechen. Rechts-, Cyber-, Cloud-, Versicherungs- oder Softwarepartner können die Veränderung früher erkennen. Ereignisse und Inhalte erleichtern dann das Verständnis der beobachteten Einwände.

So ist das Diagramm zu lesen. Die Kanäle speisen die gleiche Qualifikation ein. Der erste nützliche Indikator ist nicht der Klick oder der Termin, sondern der Anteil der Situationen, in denen echte Bearbeitung, fehlende Nachweise und eine geschäftliche Entscheidung aufeinandertreffen.

Zu den Akquisitionskosten kommen Medien, Daten, Werkzeuge, Produktion und Personalzeit hinzu. Dem stehen eine zurechenbare Marge, Abholzeit und Lieferkapazität gegenüber. Ohne diese Daten bietet getfishnet einen Test, keinen Ertrag.

Die Ergebnisse, die vor einer Kampagne modelliert werden können, sind Entscheidungsschwellenwerte und nie beobachtete Leistungen: Grösse des zugänglichen Pools, Rate wirklich qualifizierter Dossiers, Wert der ersten Lieferung, maximale Akquisitionskosten, monatliche Kapazität und Erfassungszeit. Jede Hypothese muss durch eine Messung ersetzt werden können.

Eine indikative Modellierung könnte beispielsweise drei Szenarien vergleichen, ohne ihnen eine fiktive Wahrscheinlichkeit zuzuordnen: vorsichtige, zentrale und maximale Kapazität. Jedes Szenario beginnt mit der Anzahl der tatsächlich zugänglichen Konten und reicht bis zu den Mandate, die der Partner erfüllen kann. Die Antwort- bzw. Unterschriftsraten bleiben bestehen vor dem Auftrag festzulegen bis ein Test Daten liefert.

Diese Disziplin vermeidet zwei Fehler. Die erste besteht darin, die mehr als 2.000 von der EDÖB genannten Anzeigen in Leads umzuwandeln. Die zweite besteht darin, den Gesamtwert eines erwarteten Vertrags als durch den Akquisition erzieltes Umsatz darzustellen. Nur unterzeichnete, gesammelte und zuordenbare Einnahmen können das Modell nach der Ausführung validieren.

Wiederkehrende Einnahmen sind wirklich gerechtfertigt, wenn neue Projekte, Lieferanten, Verarbeitungs- oder Käuferanforderungen zu regelmässigen Entscheidungen führen, die der Partner vorbereiten und befolgen muss. Ein automatisches Update ohne sinnvolle Arbeit stellt kein nachhaltiges Angebot dar.

Die Überwachung kann Änderungen, neue Subunternehmer, Kundenbefragungen, Vorfallübungen oder Auswirkungsanalysen umfassen. Sein Geltungsbereich legt fest, was untersucht wird, wer entscheidet und welche Ergebnisse erbracht werden.

Der Kunde muss ausserdem die Eigentümer benennen, Änderungen melden und Entscheidungen treffen. Ein externer Partner kann nicht allein eine Governance aufrechterhalten, die die Organisation nicht unterstützt.

Die Seite von Schweizer IT- und Cybersicherheitsmarkt fasst die weiteren nützlichen Fenster zur Unterscheidung von Datenschutz, Betriebssicherheit und Meldepflichten zusammen. Die korrelierten Messwerte werden dann dynamisch entsprechend dem Markt und der angestrebten Entscheidung vorgeschlagen.

Die Entscheidung, die Sie sich merken sollten, besteht darin, die reale Verarbeitung abzubilden, bevor Sie über Compliance oder Akquise sprechen. Wenn diese Kartierung fehlende Nachweise aufdeckt, die eine Geschäftsentscheidung blockieren, kann getfishnet anschliessend mit dem kompetenten Partner eine Eroberungsstrategie evaluieren.

Die neue DSG bietet einen anspruchsvollen Rahmen. Kommerzielles Vertrauen stellt eine Entwicklungsherausforderung dar, aber nur, wenn ein Käufer wirklich Nachweise erwartet und das Unternehmen diese vorlegen kann. Dazwischen liegt die entscheidende Arbeit: die Verknüpfung von Daten, Verantwortlichkeiten, Risiken, Dokumenten und Entscheidung.

Diese Marktanalyse stellt keine Zertifizierung einer Organisation dar und verspricht keinerlei Verkäufe. Es zeigt, wie man aus einer zu weit gefassten Frage einen überprüfbaren Fall macht und dann entscheidet, ob dieser Fall einen Mehrkanal-Akquisetest wert ist. Die wirtschaftlichen Annahmen bleiben bis zur Unterzeichnung, Erhebung und Zuordnung des beobachtbaren Einkommens indikativ.