Verzeichnis der Bearbeitungstätigkeiten nach DSG: Pflicht und Aufbau

Für wen

IT-Leitung und Datenschutzverantwortliche in KMU mit 10 bis 200 Mitarbeitenden

Zeitbedarf

1 Arbeitstag für den ersten Entwurf mit 8 bis 15 Tätigkeiten

Rechtsgrundlage

Art. 12 DSG, Art. 24 DSV

Stand

Oktober 2026

Massgebend ist der Bestand am 1. Januar eines Jahres (Art. 24 DSV). Darunter liegen 99,7 Prozent der Schweizer Unternehmen (BFS). Die Verordnung sagt nicht, ob Köpfe oder Vollzeitstellen zählen. Liegen Sie in der Nähe von 250, rechnen Sie vorsichtig mit Köpfen.

Unter 250 sind Sie befreit, ausser Sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch. Besonders schützenswert sind unter anderem Gesundheitsdaten, biometrische Daten zur eindeutigen Identifikation und Daten über strafrechtliche Verfolgungen (Art. 5 lit. c DSG). Was «grosser Umfang» heisst, regelt die Verordnung nicht näher (Onlinekommentar zu Art. 12 DSG). Beim Website-Tracking hält der EDÖB fest, dass Drittanbieter über Werbe-Cookies auf vielen Websites ein Profiling mit hohem Risiko durchführen können (EDÖB).

Beispiel: Ein Treuhandbüro mit 40 Mitarbeitenden und Arztzeugnissen im Personaldossier ist ein anderer Fall als eine Physiotherapiekette mit 15'000 Patientendossiers. Die zweite sollte von einer Pflicht ausgehen.

Auftragsbearbeiter, etwa IT-Dienstleister oder Treuhandbüros mit Lohnmandaten, führen ein eigenes, schlankeres Verzeichnis (Art. 12 Abs. 3 DSG). Die Befreiung nach Art. 24 DSV gilt auch für sie.

Das Verzeichnis ordnet nach Tätigkeiten, nicht nach Systemen. Eine Tätigkeit ist ein Ablauf mit einem gemeinsamen Zweck, etwa «Lohnabrechnung». Ein System wie das Office-Paket taucht in mehreren Tätigkeiten auf.

Für die Bestandesaufnahme nutzen Sie drei Quellen: die Lizenz- und Softwareliste der IT, die Kreditorenliste der Buchhaltung (dort stehen alle Abos und Cloud-Dienste) und kurze Gespräche mit Personal, Verkauf, Marketing und Buchhaltung. Klären Sie jeweils, welche Personendaten hereinkommen, wo sie liegen und wer sie erhält.

Typische Tätigkeiten in einem KMU sind Lohnbuchhaltung, Personaladministration, Bewerbungsverfahren, Kundenverwaltung im CRM, Fakturierung und Debitoren, E-Mail und Zusammenarbeit, Website mit Kontaktformular und Webanalyse sowie Newsletter. Diese acht sind in der Vorlage vorausgefüllt.

Beispiel: Ein Handelsbetrieb mit 80 Mitarbeitenden ergänzt Lieferantenverwaltung, Zutrittssystem und Videoüberwachung am Lager und kommt so auf elf Tätigkeiten.

Pro Tätigkeit verlangt das Gesetz die Identität des Verantwortlichen, den Zweck sowie die Kategorien betroffener Personen und bearbeiteter Daten (Art. 12 Abs. 2 lit. a bis c DSG). Die Identität erfassen Sie einmal im Stammblatt.

Formulieren Sie den Zweck so, dass ein Dritter ihn versteht. «HR» genügt nicht. «Berechnung und Auszahlung der Löhne, Abrechnung mit Sozialversicherungen und Steuerbehörden» genügt.

Kategorien betroffener Personen sind zum Beispiel Mitarbeitende, Bewerbende, Kundinnen und Kunden, Ansprechpersonen bei Lieferanten und Websitebesuchende. Datenkategorien sind etwa Kontaktdaten, Vertragsdaten, Lohn- und Bankdaten oder Nutzungsdaten.

Markieren Sie besonders schützenswerte Daten in einer eigenen Spalte. In der Personaladministration sind das typischerweise Krankheitsabsenzen mit Arztzeugnis. Diese Spalte zeigt Ihnen jedes Jahr, ob die Rückausnahme nach Art. 24 lit. a DSV näher rückt. Sie zeigt auch, wo eine Datenschutz-Folgenabschätzung nach Art. 22 DSG zu prüfen ist.

Das Gesetz verlangt nur die Kategorien der Empfängerinnen und Empfänger (Art. 12 Abs. 2 lit. d DSG). Beispiele: Sozialversicherungen, Steuerverwaltung, Bank, Anbieter der Lohnsoftware als Auftragsbearbeiter.

Halten Sie intern zusätzlich den Namen jedes Auftragsbearbeiters fest und ob ein Vertrag besteht. Die Übertragung an einen Auftragsbearbeiter ist an Voraussetzungen geknüpft (Art. 9 DSG). Wer diese vorsätzlich missachtet, kann gebüsst werden (Art. 61 lit. b DSG).

Dieselben Angaben brauchen Sie an zwei weiteren Stellen. Die Datenschutzerklärung nennt gegebenenfalls Empfänger oder deren Kategorien (Art. 19 Abs. 2 lit. c DSG, EDÖB). Eine Auskunft an betroffene Personen ebenfalls (Art. 25 Abs. 2 lit. g DSG). Ein sauberes Verzeichnis spart hier die Recherche unter Zeitdruck.

Bekanntgeben heisst auch Zugänglichmachen (Art. 5 lit. e DSG). Ein Cloud-Speicher im Ausland oder ein Supportzugriff aus dem Ausland zählt also mit. Das Verzeichnis nennt den Staat und die Garantien nach Art. 16 Abs. 2 DSG (Art. 12 Abs. 2 lit. g DSG).

Prüfen Sie in dieser Reihenfolge.

1. Staatenliste in Anhang 1 DSV: Sie umfasst alle EU-Staaten, das Vereinigte Königreich, Kanada (mit Einschränkungen), Israel, Neuseeland, Uruguay und weitere. Japan und Südkorea stehen nicht darauf. Für Staaten auf der Liste genügt der Hinweis auf die Angemessenheit, die der Bundesrat festgestellt hat (Art. 16 Abs. 1 DSG, BJ).
2. USA: Angemessen ist der Schutz nur bei Organisationen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Die Zertifizierung ist jährlich zu erneuern und kann wegfallen. Prüfen Sie sie auf der offiziellen DPF-Liste und dokumentieren Sie das Prüfdatum (privatim).
3. Übrige Staaten: Standarddatenschutzklauseln. Der EDÖB anerkennt die EU-Standardvertragsklauseln, sofern sie für das Schweizer Recht angepasst werden (EDÖB).

Staat und Garantien gehören auch in die Datenschutzerklärung (Art. 19 Abs. 4 DSG).

Das Verzeichnis nennt, wenn möglich, die Aufbewahrungsdauer oder die Kriterien dafür (Art. 12 Abs. 2 lit. e DSG). Grundsatz: Daten werden gelöscht oder anonymisiert, sobald sie für den Zweck nicht mehr nötig sind (Art. 6 Abs. 4 DSG).

Wo das Gesetz eine Frist setzt, übernehmen Sie diese. Geschäftsbücher und Buchungsbelege sind zehn Jahre aufzubewahren, ab Ende des Geschäftsjahres (KMU-Portal zu Art. 958f OR). Das betrifft Lohnjournale und Rechnungen, soweit sie Teil der Buchhaltung sind.

Wo keine Frist besteht, legen Sie ein Kriterium fest. Beispiel: Dossiers abgelehnter Bewerbender werden drei Monate nach der Absage gelöscht, ausser die Person willigt in die Aufnahme in einen Pool ein. Beispiel: CRM-Kontakte ohne Geschäftsbeziehung werden nach 24 Monaten Inaktivität geprüft.

Die Aufbewahrungsdauer gehört auch zur Auskunft an betroffene Personen (Art. 25 Abs. 2 lit. d DSG).

Das Verzeichnis enthält, wenn möglich, eine allgemeine Beschreibung der Massnahmen zur Datensicherheit nach Art. 8 DSG (Art. 12 Abs. 2 lit. f DSG). Führen Sie diese Massnahmen einmal zentral auf einem eigenen Blatt und verweisen Sie pro Tätigkeit nur auf deren Nummer. Gliedern Sie nach den vier Schutzzielen Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit (Art. 2 DSV). Konkrete Massnahmen beschreibt der Leitfaden TOM des EDÖB.

Das Verzeichnis muss laut EDÖB «stets à jour gehalten werden» (EDÖB). Bestimmen Sie pro Tätigkeit eine verantwortliche Person. Aktualisieren Sie bei jedem neuen Tool, neuen Zweck, neuen Auftragsbearbeiter oder neuen Zielland. Verankern Sie das im Einkauf: Kein neuer Cloud-Dienst ohne Eintrag. Einmal pro Jahr prüfen Sie alle Zeilen, die DPF-Zertifizierungen und den Bestand am 1. Januar.

• Systeme statt Tätigkeiten erfassen. Eine Zeile «Office-Paket» sagt nichts über Zweck und Empfänger. Ordnen Sie nach Abläufen.
• Zu allgemeine Zwecke. «Marketing» deckt Newsletter, Webanalyse und Messeadressen ab. Das sind drei Tätigkeiten mit unterschiedlichen Daten und Empfängern.
• Auslandbezug übersehen. Supportzugriffe und Unterauftragnehmer von Cloud-Anbietern sind Bekanntgaben. Fragen Sie beim Anbieter nach der Liste der Unterauftragnehmer und Standorte.
• USA pauschal als angemessen einstufen. Die Angemessenheit gilt nur für zertifizierte Organisationen. Eine fehlende oder abgelaufene Zertifizierung verlangt andere Garantien.
• Befreit heisst nichts tun. Informationspflicht, Auskunftsrecht und Datensicherheit gelten unabhängig von der Grösse. Ohne Übersicht wird jede Auskunft zur Suche.
• Einmal erstellt, nie gepflegt. Ein veraltetes Verzeichnis führt zu einer falschen Datenschutzerklärung. Wer vorsätzlich falsch oder unvollständig informiert, kann gebüsst werden (Art. 60 DSG).

Bei Grenzfällen zur Rückausnahme, etwa bei Gesundheitsdaten von Kundinnen und Kunden oder bei personalisierter Werbung mit Drittanbieter-Tracking (EDÖB), lohnt sich eine Einschätzung durch eine Anwältin oder einen Anwalt mit Schwerpunkt Datenschutz. Dasselbe gilt für Bekanntgaben in Staaten ohne Angemessenheit, weil die Standardvertragsklauseln angepasst werden müssen. Ihre Treuhand kann die Aufbewahrungsfristen für Buchhaltung und Lohn bestätigen. Leitfäden und Formulare stellt der EDÖB bereit.